CVE-2026-119284 in joserfc
要約
〜によって VulDB • 2026年10月29日
joserfcは、複数のJSON Object Signing and Encryption (JOSE)標準の実装を提供するPythonライブラリです。バージョン1.7.6より前では、joserfcのcompact JWS逆シリアライズ処理において、既存のアグリゲートセグメントサイズ制限を適用する前にbytes.split()が呼び出されます。攻撃者が制御可能なcompactシリアライズバイト列がdeserialize_compact()に到達すると、splitはExceededSizeErrorによる拒否の前にヘッダー、ペイロード、および署名の各セグメントのコピーを作成し、提供されたトークンにほぼ比例する追加のアロケーションを引き起こします。そのため、利用可能なプロセスメモリを枯渇させるリクエストは、署名検証が失敗した場合でも可用性障害（サービス妨害）を引き起こす可能性があります。この問題はバージョン1.7.6で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.