CVE-2026-65627 in jose
Сводка
по VulDB • 27.10.2026
Уязвимость «Неправильная обработка сильно сжатых данных (амплификация данных)» в potatosalad jose (erlang-jose) позволяет удалённому злоумышленнику исчерпать память узла, используя небольшой специально созданный токен JWE.
Функция `jose_jwe_zip:uncompress/2` из файла `src/jwe/jose_jwe_zip.erl` распаковывает текст в открытом виде (plaintext), сжатый алгоритмом DEFLATE, у токена JWE которого есть необязательный заголовок zip: DEF. Это происходит путём вызова функции `zlib:inflate/2` для всего потока данных, контролируемого злоумышленником, без ограничений на размер выходных данных или коэффициент декомпрессии. Алгоритм DEFLATE достигает коэффициентов сжатия около 1000:1 при сильно повторяющихся входных данных, поэтому токен размером в несколько килобайт может расшириться до сотен мегабайтов или гигабайт за один вызов функции.
Декомпрессия выполняется автоматически во время процесса шифрования/дешифрования через функцию `jose_jwe:block_decrypt/2` (в Elixir это JOSE.JWE.block_decrypt/2), ещё до того, как получатель сможет проверить содержимое или отклонить полезную нагрузку. При использовании распространённых алгоритмов управления асимметричными ключами (RSA-OAEP, ECDH-ES) злоумышленнику требуется только открытый ключ получателя для создания такого токена, поэтому аутентификация или секретные материалы не требуются. Один небольшой токен может исчерпать память узла и вызвать сбой BEAM, что приведёт к отказу в обслуживании (DoS) для всех пользователей.
Эта проблема затрагивает пакет jose: начиная с версии 1.0.0 до версии 1.11.13 (включительно).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.