CVE-2023-46129 in nkeys
Сводка
по VulDB • 26.05.2026
NATS.io — это высокопроизводительная технология распределенной коммуникации с моделью издатель-подписчик (pub-sub), с открытым исходным кодом, предназначенная для облачных сред, локальных развертываний (on-premise), Интернета вещей (IoT) и периферийных вычислений (edge computing). Библиотека обработки криптографических ключей nkeys недавно получила поддержку шифрования, а не только подписи и аутентификации. Она используется в nats-server версий 2.10 (сентябрь 2023 года) и новее для вызовов аутентификации (auth callouts). В версиях nkeys от 0.4.0 до 0.4.5, соответствующих версиям NATS Server от 2.10.0 до 2.10.3, логика обработки шифрования `xkeys` в библиотеке nkeys ошибочно передавала массив по значению во внутреннюю функцию, которая изменяла этот буфер для заполнения ключа шифрования, который должен был использоваться. В результате все шифрование фактически происходило с использованием ключа, состоящего из одних нулей. Это влияет только на шифрование, но не на подпись. FIXME: УКАЗАТЬ ВЛИЯНИЕ НА БЕЗОПАСНОСТЬ ВЫЗОВОВ АУТЕНТИФИКАЦИИ (AUTH CALLOUTS) В NATS-SERVER. Библиотека nkeys для Go версии 0.4.6, соответствующая NATS Server 2.10.4, содержит исправление для этой проблемы. Известных обходных путей нет. Для любого приложения, обрабатывающего вызовы аутентификации на Go, если используется библиотека nkeys, обновите зависимость, перекомпилируйте и разверните её синхронно.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.