CVE-2026-84185
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
W bibliotece jwcrypto, używanej do implementacji standardów JOSE, występuje błąd polegający na tym, że podczas weryfikacji General JSON Serialization JWS z zestawem kluczy, biblioteka nieprawidłowo identyfikuje konkretny identyfikator klucza (kid) i może zaakceptować podpis wykonany dowolnym ważnym kluczem z zestawu. Pozwala to atakującemu posiadającemu ważny klucz na ominięcie kontroli autoryzacji w aplikacjach, które polegają na identyfikatorze klucza do rozróżniania dzierżawców lub użytkowników.
Ocena ryzyka
Atakujący z ważnym kluczem może uzyskać nieautoryzowany dostęp do zasobów innych użytkowników lub dzierżawców, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację biblioteki jwcrypto do wersji zawierającej poprawkę oraz przegląd aplikacji pod kątem zależności od identyfikatora klucza w procesie autoryzacji.
Inne podatności w jwcrypto
Zobacz wszystkie- CVE-2026-92091Średnie
W bibliotece jwcrypto funkcja JWK.import_key() waliduje członka key_ops JWK pod kątem zduplikowanych wartości przy użyciu algorytmu o złożoności czasowej O(n^2), a długość key_ops nie jest ograniczona. Zdalny, nieuwierzytelniony atakujący może dostarczyć JWK z dużą tablicą key_ops do aplikacji, która przekazuje kontrolowane przez atakującego materiały klucza do publicznego API importu klucza (osiągalnego m.in. przez uzgadnianie klucza ECDH-ES, dynamiczną rejestrację klienta OIDC, DPoP lub rejestrację klucza konta ACME), co powoduje nadmierne zużycie CPU i prowadzi do odmowy usługi.
- CVE-2026-80179Średnie
Podatność w jwcrypto pozwala zdalnemu atakującemu na wysłanie specjalnie spreparowanego tokena JSON Web Encryption (JWE) zawierającego wiele separatorów kropek. Ten nieprawidłowy token może zmusić funkcję JWE.deserialize() do przydzielenia nadmiernej ilości pamięci, co prowadzi do błędu MemoryError. Problem skutkuje odmową usługi (DoS) dla usług przetwarzających niezaufane wartości JWE.
- CVE-2026-39373Średnie
JWCrypto przed wersją 1.5.7 nie sprawdza rozmiaru zdekompresowanych danych w tokenach JWE z kompresją ZIP. Atakujący może wysłać mały token (poniżej 250KB), który po dekompresji zajmuje około 100MB, powodując wyczerpanie pamięci serwera.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the jwcrypto library, which is used for implementing Javascript Object Signing and Encryption (JOSE) standards. The issue occurs when the library verifies a General JSON Serialization JWS using a set of keys. Due to a coding error, the library fails to correctly identify the specific key ID (kid) and may instead accept a signature made by any valid key in the set. This can allow an attacker with a valid key to bypass authorization checks in applications that rely on the key ID to identify specific tenants or users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS