- Yama var
- Son 7 gün
- CWE-129
CVE-2026-116585
Go JOSE'ta CBC-HMAC işlenirken panik durumu (hizmet dışı bırakma)
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Go JOSE, Go dilinde JSON Web Encryption (JWE), JSON Web Signature (JWS) ve JSON Web Token (JWT) standartları dahil olmak üzere JavaScript Object Signing and Encryption standart kümesinin bir uygulamasını sağlar. 4.1.5 sürümünden önce, A128CBC-HS256, A192CBC-HS384 veya A256CBC-HS512 ile güvenilmeyen JWE şifreli metni çözüldüğünde, boş bir şifreli metin tamponu CBC-HMAC dolgu kaldırma işlemine iletilebilir. Yetersiz doğrulama, boş tamponun indekslenmesine izin vererek panik durumuna ve hizmet dışı bırakmaya neden olur. Saldırgan kontrolündeki şifreli metni bu içerik şifreleme algoritmalarından biriyle çözen uygulamalar etkilenir. Bu sorun 4.1.5 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Go JOSE provides an implementation of the Javascript Object Signing and Encryption set of standards in Go, including support for JSON Web Encryption (JWE), JSON Web Signature (JWS), and JSON Web Token (JWT) standards. Prior to 4.1.5, decrypting untrusted JWE ciphertext with A128CBC-HS256, A192CBC-HS384, or A256CBC-HS512 can pass an empty ciphertext buffer to CBC-HMAC unpadding. Insufficient validation allows the empty buffer to be indexed, causing a panic and denial of service. Applications that decrypt attacker-controlled ciphertext with one of these content-encryption algorithms are affected. This issue is fixed in version 4.1.5.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| go-jose | < 4.1.5 | 4.1.5 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…o-jose/security/advisories/GHSA-4w3g-jfj2-cw2q Diğer
- github.com/go-jose/go-jose/pull/292 Diğer
- github.com/…ommit/35883f7999e87cbd1b1f4cda07fdad8cd71c3dd6 Diğer
- github.com/…ommit/74114c2fa22669a2b2a296746eaa82e15566fd54 Diğer
- github.com/go-jose/go-jose/releases/tag/v4.1.5 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.