CVE-2026-34986

Go JOSE; JSON Web Encryption (JWE), JSON Web Signature (JWS) ve JSON Web Token (JWT) standartları dahil olmak üzere Javascript Object Signing and Encryption standartlarının Go dilindeki bir uygulamasını sağlar. 4.1.4 ve 3.0.5 sürümlerinden önce, eğer alg alanı bir anahtar sarmalama algoritması belirtiyorsa (A128GCMKW, A192GCMKW ve A256GCMKW hariç KW ile bitenler) ve encrypted_key alanı boşsa, bir JSON Web Encryption (JWE) nesnesinin şifresini çözmek panikle sonuçlanır. Panik, key_wrap.go içindeki cipher.KeyUnwrap() fonksiyonunun, encrypted_key uzunluğuna dayanarak sıfır veya negatif uzunlukta bir dilim (slice) ayırmaya çalışmasıyla meydana gelir. Bu kod yoluna ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact() fonksiyonlarından ardından elde edilen nesne üzerinde Decrypt() çağrılarak ulaşılabilir. Ayrıştırma fonksiyonlarının kabul edilen anahtar algoritmalarının bir listesini aldığına dikkat edilmelidir. Kabul edilen anahtar algoritmaları herhangi bir anahtar sarmalama algoritmasını içermiyorsa ayrıştırma başarısız olur ve uygulama etkilenmez. Bu paniğe ayrıca cipher.KeyUnwrap() fonksiyonunun doğrudan 16 bayttan kısa herhangi bir ciphertext parametresiyle çağrılmasıyla da ulaşılabilir ancak bu fonksiyonun doğrudan çağrılması daha az yaygındır. Panikler hizmet reddine (DoS) yol açabilir. Bu güvenlik açığı 4.1.4 ve 3.0.5 sürümlerinde giderilmiştir.