CVE-2025-54887 in ruby-jwe
Riassunto
di VulDB • 22/06/2026
jwe è un'implementazione Ruby dello standard JSON Web Encryption (JWE) RFC 7516. Nelle versioni 1.1.0 e precedenti, i tag di autenticazione dei JWE cifrati possono essere sottoposti a forza bruta, il che può comportare la perdita della riservatezza per tali JWE e fornire modi per creare JWE arbitrari. Questo espone gli utenti al rischio perché i JWE possono essere modificati in modo da decrittografarsi in un valore arbitrario; è possibile osservare le differenze di parsing e recuperare la chiave interna GHASH del GCM. Gli utenti sono interessati da questa vulnerabilità anche se non utilizzano l'algoritmo di crittografia AES-GCM per i propri JWE. Poiché la chiave GHASH potrebbe essere stata compromessa, gli utenti devono ruotare le chiavi di crittografia dopo l'aggiornamento. Questo problema è risolto nella versione 1.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.