- Yama var
- Son 7 gün
- CWE-407
CVE-2026-65631
erlang-jose RSA JWK ayrıştırmasında saldırgan kontrollü modülüs çarpanlarına ayırma girişimi, CPU tükenmesiyle hizmet dışı bırakmaya yol aç…
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- EEF
ÖzetTürkçe
erlang-jose içindeki verimsiz algoritmik karmaşıklık, kimlik doğrulaması yapmayan uzaktan bir saldırganın hazırlanmış bir RSA JSON Web Key gönderterek CPU tükenmesi kaynaklı hizmet dışı bırakma (denial of service) saldırısı gerçekleştirmesine olanak tanır.
Bir uygulama, güvenilmeyen bir JWK'yi genel jose_jwk:from_binary/1 veya jose_jwk:from_map/1 API'si (ya da Elixir sarmalayıcıları JOSE.JWK.from_binary/1 ve JOSE.JWK.from_map/1) üzerinden ayrıştırdığında, yalnızca d, e ve n değerlerini içerip tüm Çin Kalan Teoremi parametrelerini (p, q, dp, dq, qi) bulundurmayan bir RSA özel anahtarı convert_sfm_to_crt/1 fonksiyonuna yönlendirilir. Bu fonksiyon eksik asalları modülüsü çarpanlarına ayırarak bulmaya çalışır. Üç tam sayı doğrudan base64url girdisinden okunur ve gerçek bir RSA anahtarı olup olmadıkları hiçbir zaman doğrulanmaz. Modülüs iki çarpana ayrılamadığında (örneğin kendisi asal olduğunda), convert_sfm_to_crt_find_p/6 arama döngüsü her yinelemede saldırganın belirlediği boyuttaki modülüs üzerinde modüler üs alma işlemi gerçekleştirir ve hiçbir zaman başarıya ulaşmaz. Birkaç yüz baytlık tek bir istek, dahili bir saniyelik zaman aşımı bekçisi işçiyi sonlandırmadan önce yaklaşık bir CPU saniyesi iş yükü oluşturur; daha büyük bir modülüs bu maliyeti daha da artırır. Bu tür isteklerle saldırgan tüm zamanlayıcıları doyurabilir ve hizmeti engelleyebilir. Bunun için kimlik bilgisi, geçerli bir RSA anahtarı veya özel bir yapılandırma gerekmez.
Bu sorun jose sürümlerinde 1.7.7 ile 1.11.13 öncesini etkilemektedir.
Kaynaktaki açıklama (İngilizce)
Inefficient Algorithmic Complexity in erlang-jose allows an unauthenticated remote attacker to cause a CPU-exhaustion denial of service by submitting a crafted RSA JSON Web Key.
When an application parses an untrusted JWK through the public jose_jwk:from_binary/1 or jose_jwk:from_map/1 API (or the Elixir wrappers JOSE.JWK.from_binary/1 and JOSE.JWK.from_map/1), an RSA private key that supplies d, e, and n but omits all Chinese Remainder Theorem parameters (p, q, dp, dq, qi) is routed into convert_sfm_to_crt/1, which tries to recover the missing primes by factoring the modulus. The three integers are read straight from the base64url input and are never validated as a real RSA key. When the modulus cannot be split into two factors (for example, when it is itself prime), the search loop convert_sfm_to_crt_find_p/6 performs a modular exponentiation over the attacker-sized modulus on every iteration and never succeeds. A single request of a few hundred bytes forces close to one CPU-second of work before an internal one-second watchdog kills the worker, and a larger modulus raises the cost further. By flooding such requests an attacker can saturate every scheduler and deny service, without credentials, a valid RSA key, or any special configuration.
This issue affects jose: from 1.7.7 before 1.11.13.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| potatosalad jose | ≥ 1.7.7, < 1.11.13 | 1.11.13 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…g-jose/security/advisories/GHSA-3m45-vrpj-xmrq Üretici bülteni
- github.com/…ommit/bfd336c0062bff93e65d08c22361897e96afd956 Yama
- cna.erlef.org/cves/CVE-2026-65631.html Diğer
- osv.dev/vulnerability/EEF-CVE-2026-65631 Diğer
- github.com/…ommit/d19e1ba68d88c68d29aa942be2573a22dbafca1f Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.