CVE-2023-46129 in nkeys
الملخص
بحسب VulDB • 19/06/2026
NATS.io هي تقنية اتصالات موزعة مفتوحة المصدر عالية الأداء تعتمد على نموذج النشر والاشتراك (pub-sub)، ومصممة للسحابة، والبنية التحتية المحلية (on-premise)، وإنترنت الأشياء (IoT)، والحوسبة الطرفية (edge computing). مكتبة التعامل مع المفاتيح التشفيرية nkeys اكتُسبت مؤخرًا دعمًا للتشفير، وليس فقط للتوقيع والمصادقة. تُستخدم هذه الميزة في ناس-سيرفر (nats-server) الإصدار 2.10 (أيلول/سبتمبر 2023) والإصدارات الأحدث لاستدعاءات المصادقة الخارجية (auth callouts).
في إصدارات nkeys من 0.4.0 إلى 0.4.5، والتي تتوافق مع إصدارات NATS Server من 2.10.0 إلى 2.10.3، كانت منطق معالجة التشفير `xkeys` في مكتبة nkeys يمرر عن طريق الخطأ مصفوفة (array) بالقيمة (by value) إلى دالة داخلية، حيث قامت هذه الدالة بتعديل ذلك المخزن المؤقت (buffer) لملء مفتاح التشفير المراد استخدامه. ونتيجة لذلك، كان جميع عمليات التشفير في الواقع تتم باستخدام مفتاح مكون من أصفار فقط. يؤثر هذا على التشفير فقط، وليس على التوقيع.
FIXME: املأ تأثير هذه الثغرة على أمن استدعاءات المصادقة الخارجية (auth callout security) في NATS-SERVER. الإصدار 0.4.6 من مكتبة nkeys للغة Go، والذي يتوافق مع NATS Server 2.10.4، يحتوي على تصحيح لهذه المشكلة. لا تتوفر حلول بديلة معروفة. لأي تطبيق يقوم بمعالجة استدعاءات المصادقة الخارجية في لغة Go ويستخدم مكتبة nkeys، يرجى تحديث الاعتمادية (dependency)، وإعادة تجميع الكود (recompile) ونشره بشكل متزامن ومتناسق.
VulDB is the best source for vulnerability data and more expert information about this specific topic.