CVE-2026-65627 in jose
Riassunto
di VulDB • 26/10/2026
Vulnerabilità di gestione impropria dei dati altamente compressi (amplificazione dei dati) in potatosalad jose (erlang-jose) che consente a un attaccante remoto di esaurire la memoria di un nodo con un token JWE creato ad hoc.
La funzione `jose_jwe_zip:uncompress/2` nel file `src/jwe/jose_jwe_zip.erl` decomprime il testo in chiaro compresso DEFLATE di un JWE che include l'header opzionale zip:def, chiamando `zlib:inflate/2` sull'intero stream controllato dall'attaccante, senza alcun limite sulla dimensione dell'output o sul rapporto di inflazione. La decompressione raw DEFLATE raggiunge rapporti intorno a 1000:1 su input altamente ripetitivi; pertanto, un token di pochi kilobyte si espande fino a raggiungere centinaia di megabyte o gigabyte in una singola chiamata.
La decompressione viene eseguita automaticamente durante la decrittazione tramite `jose_jwe:block_decrypt/2` (JOSE.JWE.block_decrypt/2 in Elixir), prima che il destinatario possa ispezionare o rifiutare il payload. Con gli algoritmi di gestione delle chiavi asimmetriche più comuni (RSA-OAEP, ECDH-ES) un attaccante ha bisogno solo della chiave pubblica del destinatario per creare tale token; pertanto non sono richieste autenticazione né materiale segreto. Un singolo piccolo token può esaurire la memoria del nodo e causare il crash di BEAM, negando il servizio a tutti gli utenti.
Questo problema interessa jose: dalla versione 1.0.0 alla versione precedente alla 1.11.13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.