CVE-2021-29443 in jose
Tóm tắt
Bởi VulDB • 23/05/2026
jose là một thư viện npm cung cấp nhiều hoạt động mật mã. Trong các phiên bản bị lỗi, thuật toán AES_CBC_HMAC_SHA2 (A128CBC-HS256, A192CBC-HS384, A256CBC-HS512) khi giải mã luôn thực hiện cả việc xác minh thẻ HMAC và giải mã CBC; nếu một trong hai bước thất bại, lỗi `JWEDecryptionFailed` sẽ được ném ra. Sự khác biệt có thể quan sát được về thời gian khi xảy ra lỗi đệm (padding error) trong quá trình giải mã dữ liệu mật (ciphertext) tạo điều kiện cho một cuộc tấn công padding oracle, và kẻ tấn công có thể lợi dụng oracle này để giải mã dữ liệu mà không cần biết khóa giải mã bằng cách gửi trung bình 128*b lời gọi đến padding oracle (trong đó b là số byte trong khối ciphertext của dữ liệu mật). Tất cả các phiên bản phát hành chính đều đã có bản vá đảm bảo thẻ HMAC được xác minh trước khi thực hiện giải mã CBC. Các phiên bản đã sửa lỗi là `^1.28.1 || ^2.0.5 || >=3.11.4`. Người dùng nên nâng cấp phụ thuộc v1.x của họ lên ^1.28.1, phụ thuộc v2.x lên ^2.0.5, và phụ thuộc v3.x lên ^3.11.4. Cảm ơn Jason từ nhóm Nghiên cứu Lỗ hổng Microsoft (MSVR) đã báo cáo vấn đề này và Eva Sarafianou (@esarafianou) đã hỗ trợ chấm điểm cho thông báo bảo mật này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.