CVE-2023-46129 in nkeys
Résumé
par VulDB • 26/05/2026
NATS.io est une technologie de communication distribuée pub-sub open source à haute performance, conçue pour le cloud, les déploiements sur site (on-premise), l'IoT et l'informatique en périphérie (edge computing). La bibliothèque de gestion des clés cryptographiques, nkeys, a récemment ajouté le support du chiffrement, et pas seulement de la signature et de l'authentification. Cette fonctionnalité est utilisée dans nats-server 2.10 (septembre 2023) et les versions ultérieures pour les appels d'authentification (auth callouts). Dans les versions de nkeys comprises entre 0.4.0 et 0.4.5, correspondant aux versions de NATS Server 2.10.0 à 2.10.3, la logique de gestion du chiffrement `xkeys` de la bibliothèque nkeys transmettait par erreur un tableau par valeur à une fonction interne, qui modifiait ce tampon pour remplir la clé de chiffrement à utiliser. Par conséquent, tout le chiffrement était en réalité effectué avec une clé composée uniquement de zéros. Cela affecte uniquement le chiffrement, pas la signature. FIXME : PRÉCISER L'IMPACT SUR LA SÉCURITÉ DES APPELS D'AUTHENTIFICATION (AUTH CALLOUTS) DE NATS-SERVER. La bibliothèque Go nkeys 0.4.6, correspondant à NATS Server 2.10.4, corrige ce problème. Aucune solution de contournement n'est connue. Pour toute application gérant des appels d'authentification en Go, si elle utilise la bibliothèque nkeys, mettez à jour la dépendance, recompilez et déployez-la de manière coordonnée.
If you want to get best quality of vulnerability data, you may have to visit VulDB.