CVE-2026-65631 in jose
要約
〜によって VulDB • 2026年10月26日
erlang-joseにおける非効率なアルゴリズム的複雑性により、認証されていないリモート攻撃者が不正に作成されたRSA JSON Web Key (JWK) を送信することでCPUリソースを枯渇させ、サービス拒否（DoS）を引き起こすことができます。
アプリケーションが公開されている `jose_jwk:from_binary/1` または `jose_jwk:from_map/1` API（またはElixirラッパーである `JOSE.JWK.from_binary/1` および `JOSE.JWK.from_map/1`）を通じて信頼できないJWKを解析する場合、d, e, n を提供し中国剰余定理のパラメータ (p, q, dp, dq, qi) をすべて省略したRSA秘密鍵が `convert_sfm_to_crt/1` にルーティングされます。この関数は欠落している素因数を法数の因数分解によって復元しようと試みます。3つの整数はbase64url入力から直接読み取られ、実際のRSAキーとして検証されることはありません。法数が2つの因子に分割できない場合（例えば、それ自体が素数である場合）、検索ループ `convert_sfm_to_crt_find_p/6` は各反復で攻撃者が指定したサイズの法数に対してモジュラ指数演算を実行し、決して成功しません。数百バイト程度の単一リクエストにより、内部の1秒間のウォッチドッグタイマーがワーカーを停止させるまでにほぼ1CPU秒分の処理が行われ、より大きな法数はコストをさらに高めます。このようなリクエストを大量に送信することで、攻撃者は認証情報や有効なRSAキー、特別な設定なしで、すべてのスケジューラを飽和させサービス拒否を引き起こすことができます。
この問題は jose: 1.7.7 から 1.11.13 より前のバージョンに影響します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.