- Yama var
- Son 7 gün
- CWE-248
CVE-2026-89312
GOSE'da AesGcmCryptor.Open, uzunluğu denetlenmeyen nonce nedeniyle yanlış boyutlu IV ile panic'e yol açıyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- eclipse
ÖzetTürkçe
AesGcmCryptor.Open, çağıran tarafından sağlanan nonce değerini uzunluğunu denetlemeden doğrudan cipher.AEAD.Open fonksiyonuna iletiyor. Go standart kütüphanesi, bir GCM nonce değeri tam olarak NonceSize bayt değilse hata döndürmek yerine panic oluşturuyor; bu nedenle yanlış boyutta IV taşıyan bir JWE, çözümleme yapan goroutine'i çökertiyor.
Kaynaktaki açıklama (İngilizce)
AesGcmCryptor.Open passed a caller-supplied nonce straight to cipher.AEAD.Open without checking its length. The Go standard library **panics** rather than returning an error when a GCM nonce is not exactly NonceSize() bytes, so a JWE carrying a wrong-sized IV crashes the decrypting goroutine.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Eclipse Foundation Eclipse KeyPont - GOSE | ≥ 0.7.3, ≤ 0.13.0-rc1 | – |
| < 1.0.0-rc4 | 1.0.0-rc4 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.