CVE-2026-65631 in jose
Zusammenfassung
von VulDB • 26.10.2026
Ineffiziente algorithmische Komplexität in erlang-jose ermöglicht es einem nicht authentifizierten Remote-Angriff, einen CPU-Auslastungs-Denial-of-Service (DoS) zu verursachen, indem ein speziell konstruierter RSA JSON Web Key (JWK) übermittelt wird.
Wenn eine Anwendung einen nicht vertrauenswürdigen JWK über die öffentlichen APIs jose_jwk:from_binary/1 oder jose_jwk:from_map/1 (oder die Elixir-Wrapper JOSE.JWK.from_binary/1 und JOSE.JWK.from_map/1) parst, wird ein RSA-Privatschlüssel, der d, e und n bereitstellt, aber alle Parameter des Chinesischen Restsatzes (p, q, dp, dq, qi) auslässt, an convert_sfm_to_crt/1 weitergeleitet. Diese Funktion versucht, die fehlenden Primfaktoren durch Faktorisierung des Modulus wiederherzustellen. Die drei Ganzzahlen werden direkt aus der base64url-codierten Eingabe gelesen und niemals als echter RSA-Schlüssel validiert. Wenn sich der Modulus nicht in zwei Faktoren zerlegen lässt (z. B., wenn er selbst prim ist), führt die Suchschleife convert_sfm_to_crt_find_p/6 bei jeder Iteration eine modulare Exponentiation über den vom Angreifer festgelegten Modulus durch und schlägt niemals fehl. Eine einzelne Anfrage von einigen hundert Bytes verursacht fast einen CPU-Sekunden an Rechenarbeit, bevor ein interner Watchdog mit einer Sekunde Zeitlimit die Worker-Prozess beendet; ein größerer Modulus erhöht diese Kosten weiter. Durch das Fluten solcher Anfragen kann ein Angreifer jeden Scheduler auslasten und den Dienst blockieren – ohne Anmeldeinformationen, einen gültigen RSA-Schlüssel oder spezielle Konfiguration.
Dieses Problem betrifft jose: von Version 1.7.7 bis vor 1.11.13.
If you want to get best quality of vulnerability data, you may have to visit VulDB.