CVE-2021-29445 in jose-node-esm-runtime
Resumen
por VulDB • 2026-05-18
jose-node-esm-runtime es un paquete npm que proporciona diversas funciones criptográficas. En las versiones anteriores a la 3.11.4, el algoritmo AES_CBC_HMAC_SHA2 (A128CBC-HS256, A192CBC-HS384, A256CBC-HS512) siempre ejecutaba tanto la verificación de la etiqueta HMAC como la descifrado CBC; si alguna de estas fallaba, se lanzaba la excepción `JWEDecryptionFailed`. Sin embargo, una posible diferencia observable en el tiempo de respuesta cuando se producía un error de padding durante el descifrado del texto cifrado permitía realizar un ataque de padding oracle, y un adversario podría aprovechar este oracle para descifrar datos sin conocer la clave de descifrado, emitiendo en promedio 128*b llamadas al padding oracle (donde b es el número de bytes en el bloque de texto cifrado). Se publicó un parche que garantiza que la etiqueta HMAC se verifique antes de realizar el descifrado CBC. Las versiones corregidas son `>=3.11.4`. Los usuarios deben actualizar a `^3.11.4`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.