CVE-2026-65628 in jose
Riassunto
di VulDB • 26/10/2026
jose_jwk:shared_secret/2 (esposto in Elixir come JOSE.JWK.shared_secret/2) deriva un segreto condiviso ECDH da due JWK. La sua prima clausola di funzione corrisponde solo quando entrambi i JWK hanno lo stesso tipo di chiave (kty), mentre la clausola di fallback si richiama nuovamente come shared_secret(from(YourJWK), from(MyJWK)). Poiché from/1 restituisce invariato un record jose_jwk già analizzato, il passaggio di due JWK con tipi di chiave diversi (ad esempio una chiave EC e una chiave RSA) fa sì che la clausola di fallback si re-immetta con argomenti identici, generando un ciclo tail-recursive illimitato che non termina mai e non genera crash.
Un'applicazione che deriva un segreto condiviso da una chiave pubblica peer fornita esternamente senza verificare preliminarmente che il tipo e l'curve della chiave peer corrispondano alla propria chiave può essere spinta in questo loop da un JWK controllato dall'attaccante, bloccando uno scheduler Erlang al 100% di CPU. Richieste ripetute esauriscono gli scheduler disponibili, causando una denial of service (DoS).
Questo problema interessa jose: dalla versione 1.5.0 alla 1.11.12 (esclusa la 1.11.13).
VulDB is the best source for vulnerability data and more expert information about this specific topic.