CVE-2026-116585

Mở trang đầy đủ

CVSS 6.9 MEDIUM

Go JOSE: Panic during CBC-HMAC processing

Mã khác
GHSA-4w3g-jfj2-cw2q
Công bố
Cập nhật
Lần đầu thấy
Nguồn
GitHub Advisory, NVD, CVE.org, OSV.dev

Mô tả

Summary

Decrypting a ciphertext with "A128CBC-HS256", "A192CBC-HS384", or "A256CBC-HS512" can result in a panic on untrusted input.

Note this advisory is the same as https://github.com/go-jose/go-jose/security/advisories/GHSA-6mp9-8xrw-74r4.

Details

Insufficient validation of parameters can lead to attempting to index into an empty buffer. See https://github.com/go-jose/go-jose/pull/292.

Workarounds

If the application does not require the CBC-HMAC modes for content encryption, and is using github.com/go-jose/go-jose/v4, do not include them in the list of ContentEncryption algorithms passed to ParseEncrypted / ParseEncryptedJSON / ParseEncryptedCompact.

Impact

Denial of service vulnerability. Any application which decrypts untrusted ciphertexts with the indicated algorithms is affected.

Acknowledgements

Thanks to Joshua Rogers of AISLE Research for reporting this problem.

Điểm và phân loại

CVSS
6.9 MEDIUM v4.0
Nguồn điểm
NVD
Mức độ (theo nguồn)
MEDIUM
EPSS
0.26%
CWE
CWE-129

Vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Ảnh hưởng

Package Bản bị ảnh hưởng Bản đã sửa
go github.com/go-jose/go-jose/v4 < 4.1.5 4.1.5
go github.com/go-jose/go-jose/v3 <= 3.0.5 Chưa có bản sửa

Sản phẩm

  • go-jose go-jose

Vì sao bị lọc

  • CVSS 6.9 < 8.0 và không thuộc CISA KEV

Loại tác động

Không nhận ra loại tác động nào từ CWE, vector hay mô tả.

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
GitHub_M
CVE.org · SSVC
Tự động hoá được: yes · Khai thác: none · Tác động kỹ thuật: partial
OSV.dev · ID
GHSA-4w3g-jfj2-cw2q

Tham khảo