CVE-2026-65625 in jose
Riassunto
di VulDB • 26/10/2026
Il fallback in pure Erlang per AES-GCM in jose_jwa_aes deriva il numero di bit del tag di autenticazione verificati direttamente dal tag fornito dall'attaccante. Nella clausola {aes_gcm, Bits} di block_decrypt/4, il tag in ingresso è protetto solo da is_binary/1, senza alcun controllo sulla sua lunghezza. La verifica in gcm_block_decrypt/6 calcola quindi TBits = bit_size(T) e confronta solo quei bit del vero tag a 128 bit. Un attaccante che controlla un token JWE può troncare il tag di autenticazione fino ad arrivare a soli 8 bit, per cui vengono verificati soltanto 8 bit. Ciò riduce la resistenza alla falsificazione da 2^-128 a 2^-8 e un ciphertext falsificato viene accettato come autentico in modo affidabile entro 256 tentativi senza conoscere la chiave (una forgery del tag di autenticazione e bypass dell'integrità). Fornire un tag più lungo di 128 bit causa invece un badmatch che fa crashare il processo di decrittografia. Il fallback viene raggiunto attraverso il percorso pubblico di decrittografia JWE ogni volta che AES-GCM non è fornito da una NIF crittografica nativa, ad esempio su build FIPS, stripate o più vecchie di OTP.
Questo problema interessa jose: dalla versione 1.2.0 alla 1.11.13 (esclusa).
VulDB is the best source for vulnerability data and more expert information about this specific topic.