CVE-2023-46129 in nkeys
Tóm tắt
Bởi VulDB • 19/06/2026
NATS.io là một công nghệ truyền thông phân tán pub-sub mã nguồn mở hiệu suất cao, được xây dựng cho điện toán đám mây (cloud), tại chỗ (on-premise), IoT và điện toán biên (edge computing). Thư viện xử lý khóa mật mã nkeys gần đây đã hỗ trợ thêm tính năng mã hóa, không chỉ giới hạn ở ký số/xác thực. Tính năng này được sử dụng trong nats-server phiên bản 2.10 (tháng 9 năm 2023) và các phiên bản mới hơn để gọi xác thực (auth callouts). Trong các phiên bản của thư viện nkeys từ 0.4.0 đến 0.4.5, tương ứng với các phiên bản NATS server từ 2.10.0 đến 2.10.3, logic xử lý mã hóa `xkeys` trong thư viện nkeys đã vô tình truyền một mảng bằng giá trị (by value) vào một hàm nội bộ; tại đây, hàm này làm thay đổi (mutate) vùng đệm đó để điền khóa mã hóa cần sử dụng. Kết quả là tất cả dữ liệu mã hóa thực chất đều được mã hóa bằng một khóa toàn số 0 (all-zeros key). Lỗi này chỉ ảnh hưởng đến tính năng mã hóa, không ảnh hưởng đến ký số/xác thực. FIXME: FILL IN IMPACT ON NATS-SERVER AUTH CALLOUT SECURITY. Thư viện Go nkeys phiên bản 0.4.6, tương ứng với NATS Server 2.10.4, đã có bản vá cho vấn đề này. Không có các giải pháp tạm thời (workarounds) nào được biết đến. Đối với bất kỳ ứng dụng nào xử lý auth callouts bằng Go, nếu sử dụng thư viện nkeys, hãy cập nhật dependency, biên dịch lại và triển khai đồng bộ.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.