- Yama var
- Son 7 gün
- CWE-248
CVE-2026-89318
Eclipse KeyPont GOSE'da JWE RSA anahtar çözme bileşeni, saldırgan kontrollü IV uzunluğuyla panik oluşturuyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- eclipse
ÖzetTürkçe
JweRsaKeyEncryptionDecryptorImpl.Decrypt, JWE'nin başlatma vektörünü (IV) uzunluğunu denetlemeden cipher.AEAD.Open fonksiyonuna iletiyordu. Go standart kütüphanesi, bir GCM nonce değeri tam olarak NonceSize bayt değilse hata döndürmek yerine panik oluşturmaktadır. Bu nedenle yanlış boyutta IV içeren bir JWE, çözme işlemini yürüten goroutine'i çökertebilmektedir.
Kaynaktaki açıklama (İngilizce)
JweRsaKeyEncryptionDecryptorImpl.Decrypt passed the JWE's initialization vector to cipher.AEAD.Open without checking its length. The Go standard library **panics** rather than returning an error when a GCM nonce is not exactly NonceSize() bytes, so a JWE carrying a wrong-sized IV crashes the decrypting goroutine.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Eclipse Foundation Eclipse KeyPont - GOSE | ≥ 0.8.0, ≤ 0.13.0-rc1 | – |
| < 1.0.0-rc4 | 1.0.0-rc4 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.