CVE-2026-65628 in jose
Resumen
por VulDB • 2026-10-26
jose_jwk:shared_secret/2 (expuesto en Elixir como JOSE.JWK.shared_secret/2) deriva un secreto compartido ECDH a partir de dos JWKs. Su primera cláusula de función solo coincide cuando ambos JWKs tienen el mismo tipo de clave (kty), y su cláusula de respaldo se vuelve a invocar como shared_secret(from(TuJWK), from(MiJWK)). Dado que from/1 devuelve un registro jose_jwk ya analizado sin cambios, pasar dos JWKs con tipos de clave diferentes (por ejemplo, una clave EC y una RSA) hace que la cláusula de respaldo se reentre con argumentos idénticos, produciendo un bucle recursivo en cola ilimitado que nunca retorna ni genera errores.
Una aplicación que deriva un secreto compartido a partir de una clave pública del par proporcionada externamente sin verificar primero que el tipo y la curva de la clave del par coincidan con los de su propia clave puede ser llevada a este bucle por un JWK controlado por un atacante, fijando un programador Erlang al 100% de CPU. Las solicitudes repetidas agotan los programadores disponibles, lo que resulta en una denegación de servicio (DoS).
Este problema afecta a jose: desde la versión 1.5.0 hasta antes de 1.11.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.