Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-407
  • CWE-770

CVE-2026-116587

Go JOSE'da RSA anahtarı içeren JWK'ların ayrıştırılması hizmet dışı bırakmaya yol açıyor

go-jose

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

ÖzetTürkçe

Go JOSE, Go dilinde JSON Web Encryption (JWE), JSON Web Signature (JWS) ve JSON Web Token (JWT) standartları dahil olmak üzere JavaScript Object Signing and Encryption standart kümesinin bir uygulamasını sağlar. 4.1.6 sürümünden önce go-jose, saldırgan kontrolündeki RSA modulus ve asal değerlerini JWK'lardan ayrıştırırken, bunları crypto/rsa.PrivateKey.Validate fonksiyonuna iletmeden önce boyut ve tutarlılık sınırlarını uygulamamaktadır. Go 1.24 ve sonraki sürümlerinde, özel olarak hazırlanmış büyük veya dejenere RSA parametreleri bu doğrulamanın küpsel CPU süresi tüketmesine neden olabilir; bu da güvenilmeyen kaynaklardan JWK ayrıştıran uygulamalarda uzaktan hizmet dışı bırakmaya izin verir. Bu sorun 4.1.6 sürümünde giderilmiştir.

Kaynaktaki açıklama (İngilizce)

Go JOSE provides an implementation of the Javascript Object Signing and Encryption set of standards in Go, including support for JSON Web Encryption (JWE), JSON Web Signature (JWS), and JSON Web Token (JWT) standards. Prior to 4.1.6, go-jose parses attacker-controlled RSA modulus and prime values from JWKs without enforcing size and consistency bounds before passing them to crypto/rsa.PrivateKey.Validate. On Go 1.24 and later, crafted large or degenerate RSA parameters can make that validation consume cubic CPU time, allowing remote denial of service in applications that parse JWKs from untrusted sources. This issue is fixed in version 4.1.6.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
go-jose < 4.1.6 4.1.6

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.