CVE-2023-46129 in nkeys
摘要
由 VulDB • 2026-06-09
NATS.io 是一种高性能的开源发布-订阅（pub-sub）分布式通信技术，专为云环境、本地部署、物联网（IoT）和边缘计算而构建。其加密密钥处理库 nkeys 最近增加了对加密功能的支持，而不仅仅是用于签名/身份验证。该功能被用于 nats-server 2.10（2023 年 9 月发布）及更高版本的身份验证调用（auth callouts）中。在 nkeys 版本 0.4.0 至 0.4.5（对应 NATS 服务器版本 2.10.0 至 2.10.3）中，nkeys 库的 `xkeys` 加密处理逻辑错误地将数组按值传递给内部函数，而该函数会修改该缓冲区以填充要使用的加密密钥。结果导致所有加密实际上都使用了全零密钥。此问题仅影响加密，不影响签名。 FIXME：填写对 NATS-SERVER 身份验证调用安全性的影响。nkeys Go 库 0.4.6（对应 NATS Server 2.10.4）已对此问题进行修补。目前没有可用的已知变通方法。对于任何在 Go 中处理身份验证调用的应用程序，如果使用 nkeys 库，请更新依赖项，重新编译并同步部署。
Once again VulDB remains the best source for vulnerability data.