CVE-2026-65627 in jose
Resumen
por VulDB • 2026-10-26
Vulnerabilidad de manejo inadecuado de datos altamente comprimidos (amplificación de datos) en potatosalad jose (erlang-jose) que permite a un atacante remoto agotar la memoria de un nodo mediante un token JWE elaborado ad hoc.
La función `jose_jwe_zip:uncompress/2` en `src/jwe/jose_jwe_zip.erl` descomprime el texto plano comprimido con DEFLATE de un JWE que lleva la cabecera opcional `zip: DEF`, llamando a `zlib:inflate/2` sobre todo el flujo controlado por el atacante, sin límite en el tamaño de salida ni en la ratio de inflación. La compresión raw DEFLATE alcanza ratios de alrededor de 1000:1 con entradas altamente repetitivas, por lo que un token de unos pocos kilobytes se infla hasta cientos de megabytes o gigabytes en una sola llamada.
La descompresión se ejecuta automáticamente durante el descifrado a través de `jose_jwe:block_decrypt/2` (JOSE.JWE.block_decrypt/2 en Elixir), antes de que el destinatario pueda inspeccionar o rechazar la carga útil. Con los algoritmos comunes de gestión de claves asimétricas (RSA-OAEP, ECDH-ES), un atacante solo necesita la clave pública del destinatario para elaborar dicho token, por lo que no se requiere autenticación ni material secreto. Un único token pequeño puede agotar la memoria del nodo y provocar el fallo del BEAM, denegando el servicio a todos los usuarios.
Este problema afecta a jose: desde 1.0.0 hasta antes de 1.11.13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.