Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-208

CVE-2026-65630

jose kütüphanesinin saf Erlang X25519 uygulamasında özel anahtarı sızdıran zamanlama yan kanalı

potatosalad jose

Orta 5,9 CVSS 4.0
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
1 gün
Kaydı açan
EEF

ÖzetTürkçe

potatosalad jose içindeki Observable Timing Discrepancy (gözlemlenebilir zamanlama farkı) güvenlik açığı, saf Erlang ile yazılmış Curve25519 yedek uygulamasındaki zamanlama yan kanalı üzerinden uzun ömürlü bir X25519 özel anahtarının geri kazanılmasına olanak tanır.

Saf Erlang X25519 uygulaması, gizli özel anahtar üzerinde yinelemeli bir Montgomery merdiveni (jose_jwa_x25519:curve25519/2) kullanarak skaler çarpma gerçekleştirir. Bu merdivenin kolları, kırpılmış (clamped) özel skaler değerin tek tek bitlerine göre dallanır; her adımdaki işlemler (jose_jwa_x25519:montgomery_add/3 ve jose_jwa_x25519:montgomery_double/1) ve alan tersi alma, değere bağlı Erlang bignum aritmetiğiyle (çarpma, kalan alma ve modüler üs alma) oluşturulmuştur. Merdiven işlem sayısı açısından dengeli olup 254 adımda sabittir; ancak her adımda işlenen somut tam sayı değerleri ve dolayısıyla çalışma süresi gizli skalere bağlıdır. Bu nedenle jose_jwa_x25519:scalarmult/2, jose_jwa_x25519:x25519/2, jose_jwa_x25519:x25519_base/1 ve jose_jwa_x25519:sk_to_pk/1 genel giriş noktalarının çalışma süresi özel anahtarın bir fonksiyonudur.

Bu yol, özellikle bir servisin uzun ömürlü bir X25519 anahtarıyla saldırgan tarafından sağlanan ECDH-ES (JWE) iletilerini çözmesi durumunda genel API üzerinden erişilebilir durumdadır. Örneğin JOSE.JWK.box_decrypt_ecdh_es/2 çağrısı, jose_jwa_curve25519:x25519_shared_secret/2 fonksiyonuna ve merdivene ulaşır. Şifreli metin gönderebilen ve çözme süresini ölçebilen bir saldırgan, prensipte özel anahtarı bit bit geri kazanabilir; bu da X25519'un sağlamak üzere tasarlandığı direnci ortadan kaldırır. Anahtarın ele geçirilmesi, bu anahtarla korunan tüm verilerin gizliliğini ve özgünlüğünü tehlikeye atar.

Bu sorun, 1.10.0 sürümünden 1.11.13 sürümünden önceki jose sürümlerini etkiler.

Kaynaktaki açıklama (İngilizce)

Observable Timing Discrepancy vulnerability in potatosalad jose allows recovery of a long-term X25519 private key through a timing side channel in the pure-Erlang Curve25519 fallback.

The pure-Erlang X25519 implementation performs scalar multiplication over the secret private key using a recursive Montgomery ladder (jose_jwa_x25519:curve25519/2) whose clauses branch on individual bits of the clamped private scalar, and whose per-step operations (jose_jwa_x25519:montgomery_add/3 and jose_jwa_x25519:montgomery_double/1) and field inversion are built from value-dependent Erlang bignum arithmetic (multiplication, remainder, and modular exponentiation). Although the ladder is operation-count balanced and fixed at 254 steps, the concrete integer values processed at each step, and therefore the running time, depend on the secret scalar. The execution time of the public entry points jose_jwa_x25519:scalarmult/2, jose_jwa_x25519:x25519/2, jose_jwa_x25519:x25519_base/1, and jose_jwa_x25519:sk_to_pk/1 is thus a function of the private key.

This path is reachable from the public API, most notably when a service decrypts attacker-supplied ECDH-ES (JWE) messages with a long-term X25519 key (for example through JOSE.JWK.box_decrypt_ecdh_es/2, which reaches jose_jwa_curve25519:x25519_shared_secret/2 and the ladder). An attacker who can submit ciphertexts and measure decryption timing can, in principle, recover the private key bit by bit, defeating the resistance X25519 was designed to provide. Recovery of the key compromises the confidentiality and authenticity of all data protected by it.

This issue affects jose: from 1.10.0 before 1.11.13.

Üreticinin geçici önlemi (İngilizce)

Use a constant-time native X25519 implementation for private-key operations: install the libsodium or libdecaf NIF, or run on an OTP release whose crypto application provides x25519, and do not force the pure-Erlang Curve25519 fallback (JOSE.crypto_fallback(true) or JOSE.curve25519_module(:jose_jwa_curve25519)) for long-lived keys.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
potatosalad jose ≥ 1.10.0, < 1.11.13 1.11.13

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.