CVE-2026-65627 in jose
Sumário
de VulDB • 26/10/2026
Vulnerabilidade de tratamento inadequado de dados altamente compactados (Amplificação de Dados) no potatosalad jose (erlang-jose) permite que um atacante remoto esgote a memória de um nó com um pequeno token JWE manipulado ad hoc.
A função `jose_jwe_zip:uncompress/2` em `src/jwe/jose_jwe_zip.erl` descompacta o texto claro compactado com DEFLATE de um JWE que carrega o cabeçalho opcional `zip: DEF`, chamando `zlib:inflate/2` sobre todo o fluxo controlado pelo atacante, sem limite no tamanho da saída ou na taxa de inflação. O DEFLATE bruto atinge taxas em torno de 1000:1 com entradas altamente repetitivas, portanto, um token de alguns quilobytes se expande para centenas de megabytes ou gigabytes em uma única chamada.
A descompressão é executada automaticamente durante a descriptografia através do `jose_jwe:block_decrypt/2` (JOSE.JWE.block_decrypt/2 no Elixir), antes que o destinatário possa inspecionar ou rejeitar o payload. Com os algoritmos comuns de gerenciamento de chaves assimétricas (RSA-OAEP, ECDH-ES), um atacante precisa apenas da chave pública do destinatário para criar tal token, portanto, nenhuma autenticação ou material secreto é necessária. Um único token pequeno pode esgotar a memória do nó e travar o BEAM, negando serviço a todos os usuários.
Este problema afeta jose: de 1.0.0 até antes da versão 1.11.13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.