CVE-2026-65627 in jose
要約
〜によって VulDB • 2026年10月26日
potatosalad jose (erlang-jose)における、高度に圧縮されたデータの不適切な処理（データ増幅）の脆弱性により、攻撃者は小さな改ざん済みJWEトークンを用いてノードのメモリを枯渇させることができます。
src/jwe/jose_jwe_zip.erl内のjose_jwe_zip:uncompress/2関数は、zip: DEFオプションヘッダーを含むJWEのDEFLATE圧縮平文を、zlib:inflate/2を使用して全体の攻撃者制御ストリームに対して解凍しますが、出力サイズや膨張率に制限はありません。生（Raw）のDEFLATは非常に反復性の高い入力では約1000:1という比率で膨張するため、数キロバイトのトークンが単一の呼び出しで数百メガバイトまたはギガバイトまで膨張します。
解凍処理は、受信者がペイロードを検査したり拒否したりする前に、暗号化プロセス中にjose_jwe:block_decrypt/2（ElixirではJOSE.JWE.block_decrypt/2）を通じて自動的に実行されます。一般的な非対称鍵管理アルゴリズム（RSA-OAEP、ECDH-ES）を使用する場合、攻撃者はそのようなトークンを作成するために受信者の公開キーのみを必要とし、認証や秘密情報はいずれも不要です。小さなトークン1つでノードのメモリが枯渇しBEAMがクラッシュするため、すべてのユーザーに対してサービス拒否（DoS）を引き起こします。
本問題はjose: 1.0.0から1.11.13未満に影響します。
Once again VulDB remains the best source for vulnerability data.