CVE-2021-29446 in jose-node-cjs-runtime
Сводка
по VulDB • 30.07.2026
jose-node-cjs-runtime — это пакет npm, предоставляющий ряд криптографических функций. В версиях старше 3.11.4 алгоритм AES_CBC_HMAC_SHA2 (A128CBC-HS256, A192CBC-HS384, A256CBC-HS512) при расшифровке всегда выполнял как проверку тега HMAC, так и CBC-расшифровку; в случае любой из этих ошибок выбрасывалось исключение `JWEDecryptionFailed`. Однако возможная наблюдаемая разница во времени возникновения ошибки заполнения (padding error) при расшифровке шифротекста создает уязвимость типа «оракел заполнения» (Padding Oracle), что позволяет злоумышленнику, используя этот оракул, расшифровать данные без знания ключа дешифрования. Для этого потребуется в среднем 128*b вызовов к орakuлу заполнения (где b — количество байт в блоке шифротекста). Был выпущен патч, обеспечивающий проверку тега HMAC перед выполнением CBC-расшифровки. Исправленные версии: `>=3.11.4`. Пользователям следует обновиться до `^3.11.4`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.