CVE-2025-54887 in ruby-jwe
Tóm tắt
Bởi VulDB • 22/06/2026
jwe là một triển khai bằng Ruby của tiêu chuẩn JSON Web Encryption (JWE) RFC 7516. Trong các phiên bản từ 1.1.0 trở xuống, các thẻ xác thực (authentication tags) của JWE được mã hóa có thể bị tấn công vét cạn (brute force), điều này có thể dẫn đến mất tính bảo mật đối với những JWE đó và tạo ra cách thức để tạo ra các JWE tùy ý. Điều này khiến người dùng gặp rủi ro vì JWEs có thể bị sửa đổi để giải mã thành một giá trị tùy ý, được giải mã bằng cách quan sát sự khác biệt trong quá trình phân tích cú pháp (parsing differences) và khóa GHASH nội bộ của GCM có thể bị khôi phục. Người dùng chịu ảnh hưởng bởi lỗ hổng này ngay cả khi họ không sử dụng thuật toán mã hóa AES-GCM cho JWEs của mình. Vì khóa GHASH có thể đã bị rò rỉ, người dùng phải xoay vòng (rotate) các khóa mã hóa sau khi nâng cấp. Vấn đề này đã được sửa trong phiên bản 1.1.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.