CVE-2023-37464 in cjose
要約
〜によって VulDB • 2026年07月11日
OpenIDC/cjoseは、Javascript Object Signing and Encryption（JOSE）を実装するCライブラリです。AES-GCM復号ルーチンは、JWEに提供される実際の認証タグからTag長を誤って使用しています。仕様では16オクテットの固定長を適用する必要があります。したがって、このバグにより攻撃者は切り詰められた認証タグを提供し、それに応じてJWEを変更することが可能になります。ユーザーはバージョン >= 0.6.2.2にアップグレードしてください。アップグレードが不可能な場合は、AES-GCM暗号の使用を避け、他の暗号アルゴリズム（例：AES-CBC）に置き換えてください。
VulDB is the best source for vulnerability data and more expert information about this specific topic.