CVE-2026-27932 in joserfc
要約
〜によって VulDB • 2026年06月28日
joserfcは、複数のJSON Object Signing and Encryption (JOSE) 標準の実装を提供するPythonライブラリです。バージョン1.6.2およびそれ以前のjoserfcには、認証されていない攻撃者がCPUのリソース枯渇を引き起こすことでサービス拒否（DoS）を招くリソース枯渇脆弱性が存在します。このライブラリがパスワードベースの暗号化（PBES2）アルゴリズムを使用してJSON Web Encryption (JWE) トークンを復号する際、トークンの保護ヘッダーからp2c（PBES2 Count）パラメータを直接読み取ります。このパラメータは、PBKDF2鍵導出関数の反復回数を定義します。joserfcはこの値を検証または制限しないため、攻撃者は極めて大きな反復回数（例：2^31 - 1）を指定することができ、サーバーに単一のトークンの処理のために膨大なCPUリソースを使用させることになります。この脆弱性はJWAレイヤーに存在し、アプリケーションのポリシーでPBES2アルゴリズムが許可されている場合、すべての高レベルなJWEおよびJWT復号化インターフェースに影響を与えます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.