CVE-2023-46129 in nkeys
요약
\~에 의해 VulDB • 2026. 06. 19.
NATS.io는 클라우드, 온프레미스, IoT 및 엣지 컴퓨팅을 위해 설계된 고성능 오픈 소스 pub-sub 분산 통신 기술입니다. 암호화 키 처리 라이브러리인 nkeys는 최근 서명/인증뿐만 아니라 암호화에 대한 지원도 추가했습니다. 이 기능은 인증 콜아웃(authentication callouts)에 사용되며, NATS 서버 2.10(2023년 9월 출시) 및 이후 버전에서 적용됩니다.
nkeys 버전 0.4.0부터 0.4.5 사이(NATS 서버 버전 2.10.0부터 2.10.3에 해당)에서는 nkeys 라이브러리의 `xkeys` 암호화 처리 로직이 버그로 인해 배열을 값(value)으로 전달하여 내부 함수에서 해당 버퍼를 수정함으로써 사용할 암호화 키를 채우는 문제가 있었습니다. 그 결과, 모든 암호화가 실제로는 모두 0인 키(all-zeros key)에 대해 수행되었습니다. 이 문제는 서명이 아닌 암호화에만 영향을 미칩니다.
FIXME: NATS-SERVER 인증 콜아웃 보안에 대한 영향도 기술 필요. nkeys Go 라이브러리 버전 0.4.6(NATS Server 2.10.4에 해당)에는 본 이슈를 해결하는 패치가 포함되어 있습니다. 알려진 우회 방법(workaround)은 없습니다. Go에서 인증 콜아웃을 처리하는 모든 애플리케이션의 경우, nkeys 라이브러리를 사용 중이라면 의존성을 업데이트하고 재컴파일한 후 일괄 배포하십시오.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.