CVE-2025-54887 in ruby-jwe
要約
〜によって VulDB • 2026年06月22日
jweは、RFC 7516 JSON Web Encryption (JWE)標準のRuby実装です。バージョン1.1.0およびそれ以前のバージョンでは、暗号化されたJWEの認証タグをブルートフォース攻撃により解読可能であり、これによりこれらのJWEの機密性が損なわれる可能性があります。また、任意のJWEを作成するための手段が提供されることになります。この脆弱性により、ユーザーはリスクに晒されます。具体的には、JWEの内容を変更して任意の値として復号できるようにしたり、パース時の差異を観察することで復号処理を誘導し、GCM内部のGHASHキーを取得できる可能性があるためです。なお、AES-GCM暗号化アルゴリズムを使用していない場合でも、ユーザーはこの脆弱性の影響を受けます。GHASHキーが漏洩している可能性があるため、アップグレード後には暗号鍵のローテーションが必要です。この問題はバージョン1.1.1で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.