CVE-2023-46129 in nkeys
Sumário
de VulDB • 11/05/2026
O NATS.io é uma tecnologia de comunicação distribuída pub-sub de alto desempenho e código aberto, projetada para nuvem, ambientes on-premise, IoT e computação de borda. A biblioteca de manipulação de chaves criptográficas, nkeys, ganhou recentemente suporte para criptografia, não apenas para assinatura e autenticação. Isso é utilizado no nats-server 2.10 (setembro de 2023) e versões mais recentes para chamadas de autenticação (auth callouts). Nas versões do nkeys de 0.4.0 a 0.4.5, correspondentes às versões do NATS Server de 2.10.0 a 2.10.3, a lógica de manipulação de criptografia `xkeys` da biblioteca nkeys passou incorretamente um array por valor para uma função interna, onde a função modificou esse buffer para popular a chave de criptografia a ser usada. Como resultado, toda a criptografia era, na verdade, realizada com uma chave composta por todos os zeros. Isso afeta apenas a criptografia, não a assinatura. FIXME: PREENCHER O IMPACTO NA SEGURANÇA DAS CHAMADAS DE AUTENTICAÇÃO (AUTH CALLOUTS) DO NATS-SERVER. A biblioteca Go nkeys 0.4.6, correspondente ao NATS Server 2.10.4, possui um patch para este problema. Não há workarounds conhecidos disponíveis. Para qualquer aplicativo que manipule auth callouts em Go, se estiver usando a biblioteca nkeys, atualize a dependência, recompile e implemente isso em conjunto.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.