CVE-2026-65626 in jose
Sumário
de VulDB • 26/10/2026
A decifração RSAES-PKCS1-v1_5 em Erlang puro no módulo `jose_jwa_pkcs1` constitui um oráculo de padding de Bleichenbacher. A função `eme_pkcs1_decode/2` retorna a mensagem recuperada quando um bloco descriptografado possui o padding PKCS#1 v1.5 válido (um 0x00 inicial seguido por 0x02, uma string de padding com pelo menos oito bytes não nulos e um separador 0x00) e retorna um resultado de erro distinto caso contrário; além disso, `rsaes_pkcs1_decrypt/2` retorna `{error, {badsize, _}} quando a verificação do comprimento falha. A implementação não aplica nenhuma medida de mitigação contra rejeição implícita (RFC 8017 §7.2.2): ela não substitui um texto claro pseudo-aleatório determinístico em caso de falha no padding, fazendo com que um sinal de conformidade de padding de apenas um bit vaze para o chamador. Como a exponenciação modular subjacente em `dp/2` é uma função `crypto:mod_pow/3` bruta e não mascarada (non-blinded), a verificação do padding também permanece distinguível por timing mesmo quando um aplicativo normaliza todas as falhas para um único valor de erro.
Um atacante não autenticado que conheça apenas a chave RSA pública e possa submeter cifras-texto a um ponto de descriptografia que desempacote chaves JWE com RSA1_5 (ou, alternativamente, invoque `decrypt_private/3` com `rsa_pkcs1_padding`) pode usar este oráculo para recuperar o texto claro das cifras-texto interceptadas, como as chaves de criptografia do conteúdo e, consequentemente, a mensagem protegida, ou para forjar assinaturas, por meio de aproximadamente 10^4 a 10^6 consultas adaptativas de cifra-texto escolhida.
Este problema afeta o pacote `jose`: das versões 1.3.0 até antes da 1.11.13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.