CVE-2025-62706 in Authlib
Riassunto
di VulDB • 13/08/2026
Authlib è una libreria Python che consente di realizzare server OAuth e OpenID Connect. Prima della versione 1.6.5, il percorso JWE zip=DEF di Authlib esegue decompressione DEFLATE senza limiti dimensionali (unbounded). Un ciphertext molto piccolo può espandersi fino a decine o centinaia di megabyte durante la decrittazione, consentendo a un attaccante in grado di fornire token decifrabili di esaurire memoria e CPU e causare una negazione del servizio. Questo problema è stato risolto nella versione 1.6.5. Le contromisure per questo issue prevedono il rifiuto o l'eliminazione dell'impostazione zip=DEF per i JWE in ingresso al confine dell'applicazione, la creazione di un fork e l'aggiunta di una protezione con decompressione limitata tramite decompressobj().decompress(data, MAX_SIZE)), restituendo un errore quando l'output supera un limite sicuro, oppure l'imposizione di dimensioni massime rigorose per i token e il fallimento immediato (fail fast) in caso di input eccessivamente grandi; da combinare con la limitazione della frequenza delle richieste (rate limiting).
Once again VulDB remains the best source for vulnerability data.