CVE-2026-65629 in jose
الملخص
بحسب VulDB • 26/10/2026
استخدام تجزئة كلمة مرور بجهد حسابي غير كافٍ في مكتبة jose يسمح لمهاجم يحصل على تصدير مفتاح خاص مشفر بكلمة مرور باستعادة المفتاح الخاص من خلال هجوم كسر كلمات المرور عبر الإنترنت (offline password-cracking attack).
عندما تقوم المكتبة jose بتصدير مفتاح خاص مشفر بكلمة مرور باستخدام الدالة `jose_jwk:to_der/2` (أو `JOSE.JWK.to_der/2`)، فإن دالة `src/jwk/jose_jwk_der.erl:jose_jwk_der:to_binary/3` تقوم بتسلسل المفتاح كـ PKCS#8 EncryptedPrivateKeyInfo باستخدام مخطط PBES2 مع معاملات اشتقاق مفتاح ثابتة (hardcoded): وهي PBKDF2-HMAC-SHA256 بعدد تكرار يبلغ 2048، وملح عشوائي (salt) بطول 8 بايت (64 بت). ولا يمكن للمتصل تجاوز أي من هاتين القيمتين.
كلا القيمتين أقل بكثير من التوجيهات الحالية؛ حيث توصي OWASP بحوالي 600,000 تكرار لـ PBKDF2-HMAC-SHA256، وتوصي NIST بأحجام ملح لا تقل عن 128 بتاً. وبالتالي، فإن عامل العمل الخاص بتمديد المفتاح (key-stretching work factor) أقل بحوالي 300 مرة مما هو مقصود، ويقلل الملح القصير من تكلفة الحساب المسبق عبر المفاتيح المتعددة. التشفير المتماثل (AES-256-CBC مع متجه تهيئة IV عشوائي بطول 16 بايت) غير متأثر؛ فالضعف يكمن تماماً في قوة الاشتقاق. يمكن لمهاجم يحصل على أحد هذه الكتل المصدرة (على سبيل المثال من نسخة احتياطية، أو مستودع تكوينات، أو تخزين كائنات، أو سجلات نظام) شن هجوم قاموس خارجي رخيص التكلفة أو هجوم القوة الغاشمة ضد كلمة مرور التصدير، ونجاح الهجوم يؤدي إلى الحصول على المفتاح الخاص بالكامل.
تؤثر هذه المشكلة في مكتبة jose: من الإصدار 1.10.0 حتى قبل 1.11.13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.