- Yama var
- Son 7 gün
- CWE-354
CVE-2026-89320
gose kütüphanesinde AES-CBC-HMAC JWE bütünlük etiketi girdiden bağımsız hale geliyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- eclipse
ÖzetTürkçe
HmacShaCryptor.Hash, girdisini hiç hash'lemiyordu. Her girdi için HMAC_K("") değerini, yani anahtar altında boş mesajın MAC değerini döndürüyordu. Bu nedenle gose tarafından üretilen veya doğrulanan her AES-CBC-HMAC JWE, anahtara göre sabit ve mesajdan bağımsız bir kimlik doğrulama etiketi taşıyordu; bu da şifreli metnin bütünlük korumasını tamamen ortadan kaldırıyordu. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N
Kaynaktaki açıklama (İngilizce)
HmacShaCryptor.Hash never hashed its input. For any input it returned HMAC_K("") — the MAC of the empty message under the key. Every AES-CBC-HMAC JWE produced or verified by gose therefore carried an authentication tag that is constant per key and independent of the message, removing ciphertext integrity entirely.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Eclipse Foundation Eclipse KeyPont - GOSE | ≥ 0.9.0, ≤ 0.13.0-rc1 | – |
| < 1.0.0-rc1 | 1.0.0-rc1 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.