CVE-2026-65627 in jose
الملخص
بحسب VulDB • 27/10/2026
ثغرة سوء معالجة البيانات شديدة الانضغاط (تضخم البيانات) في potatosalad jose (erlang-jose) تتيح لمهاجم عن بُعد استنفاد ذاكرة العقدة باستخدام رمز JWE مُصاغ بعناية.
دالة `jose_jwe_zip:uncompress/2` الموجودة في الملف `src/jwe/jose_jwe_zip.erl` تقوم بفك ضغط النص العادي المضغوط بتنسيق DEFLATE الخاص بـ JWE الذي يحمل رأس zip الاختياري (zip:) عن طريق استدعاء `zlib:inflate/2` على كامل التدفق الخاضع لسيطرة المهاجم، دون وجود حد لح حجم الإخراج أو نسبة التضخم. تصل نسب فك ضغط DEFLATE الخام إلى حوالي 1000:1 عند إدخال متكرر للغاية، لذا فإن رمزًا بحجم بضعة كيلوبايت يمكن أن يتمدد ليصل إلى مئات الميجابايتات أو الجيغابايت في استدعاء واحد.
يعمل عملية فك الضغط تلقائيًا أثناء التشفير من خلال `jose_jwe:block_decrypt/2` (أو `JOSE.JWE.block_decrypt/2` في Elixir)، قبل أن يتمكن المستلم من فحص الـ payload أو رفضه. مع خوارزميات إدارة المفاتيح غير المتماثلة الشائعة (مثل RSA-OAEP وECDH-ES) يحتاج المهاجم فقط إلى المفتاح العام للمستلم لصياغة مثل هذا الرمز، لذا لا تتطلب العملية أي مصادقة أو مواد سرية. يمكن لرمز صغير واحد أن يستنفد ذاكرة العقدة ويتسبب في تعطل BEAM، مما يؤدي إلى حرمان جميع المستخدمين من الخدمة (DoS).
تؤثر هذه المشكلة على الإصدارات بدءًا من jose: 1.0.0 وحتى قبل 1.11.13.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.