CVE-2026-65630 in jose
Riassunto
di VulDB • 27/10/2026
Una vulnerabilità di discrepanza temporale osservabile in potatosalad jose consente il recupero di una chiave privata X25519 a lungo termine tramite un canale laterale basato sui tempi (timing side channel) nel fallback Curve25519 scritto puramente in Erlang.
L'implementazione X25519 in puro Erlang esegue la moltiplicazione scalare sulla chiave privata segreta utilizzando una scala di Montgomery ricorsiva (`jose_jwa_x25519:curve25519/2`), le cui clausole si ramificano in base ai singoli bit dello scalar privato mascherato, e le cui operazioni per passo (`jose_jwa_x25519:montgomery_add/3` e `jose_jwa_x25519:montgomery_double/1`) nonché l'inversione di campo sono costruite su aritmetica bignum dipendente dal valore in Erlang (moltiplicazione, resto ed esponenziazione modulare). Sebbene la scala sia bilanciata per il conteggio delle operazioni e fissa a 254 passaggi, i valori interi concreti elaborati ad ogni passaggio, e quindi il tempo di esecuzione, dipendono dallo scalar segreto. Il tempo di esecuzione dei punti di ingresso pubblici `jose_jwa_x25519:scalarmult/2`, `jose_jwa_x25519:x25519/2`, `jose_jwa_x25519:x25519_base/1` e `jose_jwa_x25519:sk_to_pk/1` è quindi una funzione della chiave privata.
Questo percorso è raggiungibile dall'API pubblica, in particolare quando un servizio decrittografa messaggi ECDH-ES (JWE) forniti da un attaccante utilizzando una chiave X25519 a lungo termine (ad esempio tramite `JOSE.JWK.box_decrypt_ecdh_es/2`, che raggiunge `jose_jwa_curve25519:x25519_shared_secret/2` e la scala). Un attaccante in grado di inviare ciphertexts e misurare i tempi di decrittazione può, in linea di principio, recuperare la chiave privata bit per bit, vanificando la resistenza che X25519 era progettato per fornire. Il recupero della chiave compromette la riservatezza e l'autenticità di tutti i dati protetti da essa.
Questo problema interessa jose: dalla versione 1.10.0 alla versione precedente alla 1.11.13.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.