CVE-2025-62706
Açıklama
Authlib, OAuth ve OpenID Connect sunucuları oluşturan bir Python kütüphanesidir. Versiyon 1.6.5 öncesinde, Authlib'in JWE zip=DEF yolu sınırsız DEFLATE sıkıştırması açma işlemi gerçekleştirmektedir. Çok küçük bir şifreli metin, çözüldüğünde onlarca veya yüzlerce megabayta genişleyebilir; bu durum, çözülebilir belirteçler sağlayabilen bir saldırganın bellek ve CPU kaynaklarını tüketmesine ve hizmet reddine (DoS) neden olmasına olanak tanır. Bu sorun versiyon 1.6.5 ile düzeltilmiştir. Bu soruna yönelik geçici çözümler arasında; uygulama sınırında gelen JWE'ler için zip=DEF parametresinin reddedilmesi veya kaldırılması, fork edilerek decompressobj().decompress(data, MAX_SIZE) aracılığıyla sınırlı bir sıkıştırma koruması eklenmesi ve çıktı güvenli sınırı aştığında hata döndürülmesi veya katı maksimum belirteç boyutlarının zorunlu kılınarak aşırı büyük girdilerde hızlıca başarısız olunması ve bunun hız sınırlaması (rate limiting) ile birleştirilmesi yer almaktadır.
Nasıl düzeltilir
- authlib authlib1.6.5 ya da sonraki bir sürüm
- authlib1.6.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| authlib authlib | v < 1.6.5 | 1.6.5 |
| authlibPyPI | v < 1.6.5 | 1.6.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.