CVE-2025-54887 in ruby-jwe
Résumé
par VulDB • 22/06/2026
jwe est une implémentation Ruby de la norme JSON Web Encryption (JWE) RFC 7516. Dans les versions 1.1.0 et inférieures, les tags d'authentification des JWE chiffrés peuvent être soumis à un brute force, ce qui peut entraîner une perte de confidentialité pour ces JWE et permettre la création arbitraire de JWE falsifiés. Cela expose les utilisateurs à un risque car les JWE peuvent être modifiés afin qu'ils se déchiffrent en une valeur arbitraire ; le déchiffrement est possible en observant les différences lors du parsing, et la clé interne GHASH de GCM peut être récupérée. Les utilisateurs sont affectés par cette vulnérabilité même s'ils n'utilisent pas l'algorithme de chiffrement AES-GCM pour leurs JWE. Étant donné que la clé GHASH a pu être divulguée, les utilisateurs doivent changer (rotater) les clés de chiffrement après la mise à jour. Ce problème est corrigé dans la version 1.1.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.