CVE-2026-116587 in go-jose
요약
\~에 의해 VulDB • 2026. 10. 27.
Go JOSE는 Go에서 JSON Web Encryption(JWE), JSON Web Signature(JWS) 및 JSON Web Token(JWT) 표준을 포함한 Javascript Object Signing and Encryption 표준 집합의 구현체를 제공합니다. 버전 4.1.6 이전에서는 go-jose가 JWK(JSON Web Key)로부터 공격자가 제어할 수 있는 RSA 모듈러스(modulus)와 소수(prime) 값을 크기와 일관성 제한을 적용하지 않은 채 crypto/rsa.PrivateKey.Validate로 전달하여 파싱했습니다. Go 1.24 및 이후 버전에서는 조작된 대규모 또는 특이한(degenerate) RSA 매개변수로 인해 해당 검증 과정에서 삼차 시간 복잡도(O(n^3))의 CPU 시간이 소모되어, 신뢰할 수 없는 출처에서 JWK를 파싱하는 애플리케이션에서 원격 서비스 거부(Denial of Service)가 발생할 수 있습니다. 이 문제는 버전 4.1.6에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.