CVE-2026-39373
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
JWCrypto przed wersją 1.5.7 nie sprawdza rozmiaru zdekompresowanych danych w tokenach JWE z kompresją ZIP. Atakujący może wysłać mały token (poniżej 250KB), który po dekompresji zajmuje około 100MB, powodując wyczerpanie pamięci serwera.
Ocena ryzyka
Nieuwierzytelniony atakujący może doprowadzić do wyczerpania pamięci na systemach z ograniczonymi zasobami, co skutkuje odmową usługi (DoS).
Rekomendacja
Zaktualizuj JWCrypto do wersji 1.5.7 lub nowszej.
Inne podatności w JWCrypto
Zobacz wszystkie- CVE-2026-92091Średnie
W bibliotece jwcrypto funkcja JWK.import_key() waliduje członka key_ops JWK pod kątem zduplikowanych wartości przy użyciu algorytmu o złożoności czasowej O(n^2), a długość key_ops nie jest ograniczona. Zdalny, nieuwierzytelniony atakujący może dostarczyć JWK z dużą tablicą key_ops do aplikacji, która przekazuje kontrolowane przez atakującego materiały klucza do publicznego API importu klucza (osiągalnego m.in. przez uzgadnianie klucza ECDH-ES, dynamiczną rejestrację klienta OIDC, DPoP lub rejestrację klucza konta ACME), co powoduje nadmierne zużycie CPU i prowadzi do odmowy usługi.
- CVE-2026-84185Średnie
W bibliotece jwcrypto, używanej do implementacji standardów JOSE, występuje błąd polegający na tym, że podczas weryfikacji General JSON Serialization JWS z zestawem kluczy, biblioteka nieprawidłowo identyfikuje konkretny identyfikator klucza (kid) i może zaakceptować podpis wykonany dowolnym ważnym kluczem z zestawu. Pozwala to atakującemu posiadającemu ważny klucz na ominięcie kontroli autoryzacji w aplikacjach, które polegają na identyfikatorze klucza do rozróżniania dzierżawców lub użytkowników.
- CVE-2026-80179Średnie
Podatność w jwcrypto pozwala zdalnemu atakującemu na wysłanie specjalnie spreparowanego tokena JSON Web Encryption (JWE) zawierającego wiele separatorów kropek. Ten nieprawidłowy token może zmusić funkcję JWE.deserialize() do przydzielenia nadmiernej ilości pamięci, co prowadzi do błędu MemoryError. Problem skutkuje odmową usługi (DoS) dla usług przetwarzających niezaufane wartości JWE.
Oryginalny opis (angielski, źródło NVD)
JWCrypto implements JWK, JWS, and JWE specifications using python-cryptography. Prior to 1.5.7, an unauthenticated attacker can exhaust server memory by sending crafted JWE tokens with ZIP compression. The existing patch for CVE-2024-28102 limits input token size to 250KB but does not validate the decompressed output size. An unauthenticated attacker can cause memory exhaustion on memory-constrained systems. A token under the 250KB input limit can decompress to approximately 100MB. This vulnerability is fixed in 1.5.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS