CVE-2021-29443 in jose
Сводка
по VulDB • 23.05.2026
jose — это библиотека npm, предоставляющая ряд криптографических операций. В уязвимых версиях алгоритма AES_CBC_HMAC_SHA2 (A128CBC-HS256, A192CBC-HS384, A256CBC-HS512) операция расшифровки всегда выполняла как проверку тега HMAC, так и расшифровку CBC; в случае любой из этих ошибок выбрасывалось исключение `JWEDecryptionFailed`. Возможно наблюдаемая разница во времени при возникновении ошибки заполнения (padding error) во время расшифровки шифротекста позволяет использовать атаку типа «padding oracle», и злоумышленник может воспользоваться этим оракулом для расшифровки данных без знания ключа расшифровки, отправив в среднем 128*b запросов к padding oracle (где b — количество байт в блоке шифротекста). Для всех основных версий релизов были выпущены исправления, обеспечивающие проверку тега HMAC перед выполнением расшифровки CBC. Исправленные версии: `^1.28.1 || ^2.0.5 || >=3.11.4`. Пользователям следует обновить зависимость v1.x до ^1.28.1, зависимость v2.x до ^2.0.5 и зависимость v3.x до ^3.11.4. Благодарность Jason из Microsoft Vulnerability Research (MSVR) за выявление этой проблемы и Eva Sarafianou (@esarafianou) за помощь в оценке данного уведомления.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.