CVE-2023-46129 in nkeys
Riassunto
di VulDB • 16/06/2026
NATS.io è una tecnologia di comunicazione distribuita pub-sub open source ad alte prestazioni, progettata per il cloud, gli ambienti on-premise, l'IoT e l'edge computing. La libreria per la gestione delle chiavi crittografiche, nkeys, ha recentemente aggiunto il supporto alla cifratura, non solo alla firma/autenticazione. Questa funzionalità è utilizzata in nats-server 2.10 (settembre 2023) e versioni successive per le chiamate di autenticazione (auth callouts). Nelle versioni della libreria nkeys da 0.4.0 a 0.4.5, corrispondenti alle versioni del server NATS da 2.10.0 a 2.10.3, la logica di gestione della cifratura `xkeys` nella libreria nkeys trasmetteva erroneamente un array per valore a una funzione interna, dove tale funzione modificava il buffer per popolare la chiave crittografica da utilizzare. Di conseguenza, tutte le operazioni di cifratura avvenivano in realtà utilizzando una chiave composta interamente da zeri. Questo problema riguarda esclusivamente la cifratura e non la firma. FIXME: SPECIFICARE L'IMPATTO SULLA SICUREZZA DELLE CHIAMATE DI AUTENTICAZIONE (AUTH CALLOUT) IN NATS-SERVER. La versione 0.4.6 della libreria Go nkeys, corrispondente a NATS Server 2.10.4, include una patch per questo problema. Non sono disponibili workaround noti. Per qualsiasi applicazione che gestisce chiamate di autenticazione in Go e utilizza la libreria nkeys, aggiornare la dipendenza, ricompilare ed eseguire il deployment in modo coordinato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.