CVE-2026-65625

jose_jwa_aes içerisindeki pure-Erlang AES-GCM yedek mekanizması, doğrulanan kimlik doğrulama etiketi bit sayısını saldırgan tarafından sağlanan etiketin kendisinden türetmektedir. block_decrypt/4 fonksiyonunun {aes_gcm, Bits} yan tümcesinde, gelen etiket yalnızca is_binary/1 ile denetlenmekte ve uzunluğu üzerinde herhangi bir kontrol yapılmamaktadır. Ardından gcm_block_decrypt/6 içerisindeki doğrulama işlemi TBits = bit_size(T) değerini hesaplamakta ve gerçek 128 bitlik etiketin yalnızca bu kadar bitini karşılaştırmaktadır. Bir JWE belirtecini kontrol eden bir saldırgan, kimlik doğrulama etiketini 8 bite kadar kısaltabilir, böylece yalnızca 8 bit kontrol edilir. Bu durum, sahteciliğe karşı direnci 2^-128'den 2^-8'e düşürür ve anahtar bilgisi olmaksızın sahte bir şifreli metin, 256 deneme içerisinde güvenilir şekilde orijinal olarak kabul edilir (bir kimlik doğrulama etiketi sahteciliği ve bütünlük atlatma). Bunun yerine 128 bitten daha uzun bir etiket sağlanması, şifre çözme işlemini çökerten bir badmatch hatasına neden olur. Yedek mekanizmaya; örneğin FIPS veya sadeleştirilmiş ya da eski OTP sürümlerinde olduğu gibi, AES-GCM yerel bir crypto NIF tarafından sağlanmadığı her durumda genel JWE şifre çözme yolu üzerinden ulaşılır. Bu sorun, 1.2.0 ile 1.11.13 arasındaki jose sürümlerini etkilemektedir.