CVE-2026-39373
Açıklama
JWCrypto; JWK, JWS ve JWE spesifikasyonlarını python-cryptography kullanarak uygular. 1.5.7 sürümünden önce, kimliği doğrulanmamış bir saldırgan, ZIP sıkıştırmalı özel olarak hazırlanmış JWE belirteçleri göndererek sunucu belleğini tüketebilir. CVE-2024-28102 için mevcut yama, giriş belirteci boyutunu 250KB ile sınırlandırır ancakle sıkıştırılmış çıktı boyutunu doğrulamaz. Kimliği doğrulanmamış bir saldırgan, bellek kısıtlı sistemlerde bellek tükenmesine neden olabilir. 250KB giriş sınırının altındaki bir belirteç, yaklaşık 100MB'a kadar açılabilir. Bu güvenlik açığı 1.5.7 sürümünde giderilmiştir.
Nasıl düzeltilir
- latchset jwcrypto1.5.7 ya da sonraki bir sürüm
- jwcrypto1.5.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| latchset jwcrypto | v < 1.5.7 | 1.5.7 |
| jwcryptoPyPI | v < 1.5.7 | 1.5.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.