CVE-2026-80179
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w jwcrypto pozwala zdalnemu atakującemu na wysłanie specjalnie spreparowanego tokena JSON Web Encryption (JWE) zawierającego wiele separatorów kropek. Ten nieprawidłowy token może zmusić funkcję JWE.deserialize() do przydzielenia nadmiernej ilości pamięci, co prowadzi do błędu MemoryError. Problem skutkuje odmową usługi (DoS) dla usług przetwarzających niezaufane wartości JWE.
Ocena ryzyka
Atak może spowodować wyczerpanie pamięci i awarię usług, co prowadzi do niedostępności aplikacji korzystających z jwcrypto.
Rekomendacja
Zaleca się aktualizację jwcrypto do najnowszej wersji, która zawiera poprawkę ograniczającą alokację pamięci, oraz walidację tokenów JWE przed deserializacją.
Inne podatności w jwcrypto
Zobacz wszystkie- CVE-2026-92091Średnie
W bibliotece jwcrypto funkcja JWK.import_key() waliduje członka key_ops JWK pod kątem zduplikowanych wartości przy użyciu algorytmu o złożoności czasowej O(n^2), a długość key_ops nie jest ograniczona. Zdalny, nieuwierzytelniony atakujący może dostarczyć JWK z dużą tablicą key_ops do aplikacji, która przekazuje kontrolowane przez atakującego materiały klucza do publicznego API importu klucza (osiągalnego m.in. przez uzgadnianie klucza ECDH-ES, dynamiczną rejestrację klienta OIDC, DPoP lub rejestrację klucza konta ACME), co powoduje nadmierne zużycie CPU i prowadzi do odmowy usługi.
- CVE-2026-84185Średnie
W bibliotece jwcrypto, używanej do implementacji standardów JOSE, występuje błąd polegający na tym, że podczas weryfikacji General JSON Serialization JWS z zestawem kluczy, biblioteka nieprawidłowo identyfikuje konkretny identyfikator klucza (kid) i może zaakceptować podpis wykonany dowolnym ważnym kluczem z zestawu. Pozwala to atakującemu posiadającemu ważny klucz na ominięcie kontroli autoryzacji w aplikacjach, które polegają na identyfikatorze klucza do rozróżniania dzierżawców lub użytkowników.
- CVE-2026-39373Średnie
JWCrypto przed wersją 1.5.7 nie sprawdza rozmiaru zdekompresowanych danych w tokenach JWE z kompresją ZIP. Atakujący może wysłać mały token (poniżej 250KB), który po dekompresji zajmuje około 100MB, powodując wyczerpanie pamięci serwera.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in jwcrypto. A remote attacker can send a specially crafted JSON Web Encryption (JWE) token containing numerous period delimiters. This malformed token can force the JWE.deserialize() function to allocate excessive memory, leading to a MemoryError. This issue results in a denial of service (DoS) for services that process untrusted JWE values.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS