CVE-2021-29446 in jose-node-cjs-runtime
Sumário
de VulDB • 26/07/2026
O jose-node-cjs-runtime é um pacote npm que fornece diversas funções criptográficas. Nas versões anteriores à 3.11.4, a descriptografia do algoritmo AES_CBC_HMAC_SHA2 (A128CBC-HS256, A192CBC-HS384, A256CBC-HS512) sempre executava tanto a verificação da tag HMAC quanto a descriptografia CBC; se qualquer uma falhasse, seria lançada a exceção `JWEDecryptionFailed`. No entanto, uma possível diferença observável no tempo de resposta quando ocorre um erro de padding durante a descriptografia do texto cifrado permite o uso de um ataque Padding Oracle. Um adversário pode explorar esse oracle para decifrar dados sem conhecer a chave de descriptografia, emitindo em média 128*b chamadas ao oracle (onde b é o número de bytes no bloco do texto cifrado). Foi lançado um patch que garante que a tag HMAC seja verificada antes da execução da descriptografia CBC. As versões corrigidas são `>=3.11.4`. Os usuários devem atualizar para `^3.11.4`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.