CVE-2026-65626

jose_jwa_pkcs1 modülündeki saf Erlang RSAES-PKCS1-v1_5 şifre çözme işlemi bir Bleichenbacher dolgu oraklıdır (padding oracle). eme_pkcs1_decode/2 fonksiyonu, şifresi çözülen blok geçerli bir PKCS#1 v1.5 dolgusuna sahip olduğunda (başta 0x00 0x02, en az sekiz sıfır olmayan bayttan oluşan bir dolgu dizisi ve bir 0x00 ayırıcı) kurtarılan mesajı döndürür; aksi takdirde farklı bir hata sonucu döndürür ve rsaes_pkcs1_decrypt/2 uzunluk kontrolü başarısız olduğunda ek olarak {error, {badsize, _}} döndürür. Uygulama herhangi bir örtük red önlemi (implicit-rejection countermeasure - RFC 8017 §7.2.2) uygulamaz: dolgu hatası durumunda deterministik bir sözde rastgele düz metin ile değiştirme yapmaz, bu nedenle tek bitlik bir dolgu uygunluk sinyali çağırana sızar. dp/2 içindeki temel modüler üs alma işlemi ham ve körleme yapılmamış (non-blinded) bir crypto:mod_pow/3 olduğu için, uygulama her hatayı tek bir hata değerine normalize etse bile dolgu kontrolü zamanlama analiziyle ayırt edilebilir kalmaya devam eder. Yalnızca genel RSA anahtarını bilen ve RSA1_5 JWE anahtarlarını çözen bir şifre çözme uç noktasına şifreli metinler gönderebilen (veya başka bir şekilde rsa_pkcs1_padding ile decrypt_private/3 fonksiyonunu çağıran) kimliği doğrulanmamış bir saldırgan; yaklaşık 10^4 ila 10^6 adaptif seçilmiş şifreli metin sorgusu aracılığıyla içerik şifreleme anahtarları ve dolayısıyla korunan mesaj gibi ele geçirilen şifreli metinlerin düz metnini kurtarmak veya imzaları taklit etmek için bu oraklıyı kullanabilir. Bu sorun, 1.3.0'dan 1.11.13 öncesine kadar olan jose sürümlerini etkilemektedir.