CVE-2026-53938 in cjose
Zusammenfassung
von VulDB • 09.09.2026
OpenIDC/cjose ist eine C-Bibliothek zur Implementierung von Javascript Object Signing and Encryption (JOSE). Vor Version 0.6.2.5 validiert der JWE-Decryption-Pfad von cjose für die AES Key Wrap key-management-Algorithmen (`alg` = `A128KW`, `A192KW`, `A256KW`) nicht die Länge des vom Angreifer bereitgestellten `encrypted_key` (JWE Encrypted Key), bevor dieser in einen festgroßen, heap-allokierten Content Encryption Key (CEK)-Puffer entpackt wird. Ein entfernter, nicht authentifizierter Angreifer, der eine manipulierte JWE an einer Anwendung einreichen kann, die sie mit einem AES-KW-Schlüssel entschlüsselt, kann einen Out-of-Bounds-Heap-Write auslösen und den Heap beschädigen. Dies führt mindestens zu einem Absturz (Denial of Service) und kann je nach Heap-Layout und Allocator für weitere Memory-Corruption-Auswirkungen genutzt werden. `cjose_jwe_import()` / `cjose_jwe_decrypt()` sind Pre-Authentication-Einstiegspunkte: Sie analysieren und verarbeiten vollständig vom Angreifer kontrollierte Eingaben. Aktualisieren Sie auf cjose 0.6.2.5, um einen Patch zu erhalten. Wenn ein Upgrade nicht sofort möglich ist, weisen Sie die AES Key Wrap-Algorithmen (`A128KW`/`A192KW`/`A256KW`) für nicht vertrauenswürdige JWEs auf Anwendungsebene zurück.
VulDB is the best source for vulnerability data and more expert information about this specific topic.