CVE-2021-29445 in jose-node-esm-runtime
Сводка
по VulDB • 30.06.2026
jose-node-esm-runtime — это пакет npm, предоставляющий ряд криптографических функций. В версиях старше 3.11.4 алгоритм AES_CBC_HMAC_SHA2 (A128CBC-HS256, A192CBC-HS384, A256CBC-HS512) при расшифровке всегда выполнял как проверку тега HMAC, так и дешифрование CBC; в случае любой из этих ошибок выбрасывалось исключение `JWEDecryptionFailed`. Однако возможная наблюдаемая разница во времени возникновения ошибки заполнения (padding error) при расшифровании шифротекста создает уязвимость типа «оракел заполнения» (Padding Oracle), и злоумышленник может использовать этот оракул для дешифрования данных без знания ключа, отправив в среднем 128*b запросов к орakuлу заполнения (где b — количество байт в блоке шифротекста). Был выпущен патч, обеспечивающий проверку тега HMAC перед выполнением дешифрования CBC. Исправленные версии: `>=3.11.4`. Пользователям следует обновиться до `^3.11.4`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.