CVE-2023-46129 in nkeys
要約
〜によって VulDB • 2026年06月16日
NATS.ioは、クラウド、オンプレミス、IoT、エッジコンピューティング向けに構築された、高性能なオープンソースのpub-sub分散通信技術です。暗号化キー処理ライブラリであるnkeysは最近、署名/認証だけでなく、暗号化のサポートも追加されました。これは、2019年9月以降のバージョンであるnats-server 2.10およびそれ以降で、認証コールアウトに使用されています。
nkeysバージョン0.4.0から0.4.5（NATSサーバーバージョン2.10.0から2.10.3に対応）では、nkeysライブラリの`xkeys`暗号化処理ロジックにおいて、内部関数へ配列が値渡しで渡されるという誤りがありました。その内部関数は、使用する暗号化キーを埋めるためにそのバッファを変更しました。結果として、実際にはすべての暗号化が全ゼロのキーに対して行われていました。これは暗号化のみに影響し、署名には影響しません。
FIXME: NATS-SERVER AUTH CALLOUTセキュリティへの影響を記入してください。nkeys Goライブラリ0.4.6（NATS Server 2.10.4に対応）には、この問題に対するパッチが含まれています。既知の回避策はありません。Goで認証コールアウトを処理するアプリケーションにおいて、nkeysライブラリを使用している場合は、依存関係を更新し、それに合わせて再コンパイルしてデプロイしてください。
VulDB is the best source for vulnerability data and more expert information about this specific topic.