BDU:2024-01787

Опубликовано: 03 дек. 2023

Источник: fstec

CVSS3: 6.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость JWT-библиотеки Jose4j связана с неправильной реализацией алгоритма PBES2 при обработке параметра p2c. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

ООО «Ред Софт»

Сообщество свободного программного обеспечения

Axiom JDK

Наименование ПО

РЕД ОС

Jose4j

Libercat Certified EE

Версия ПО

7.3 (РЕД ОС)

до 0.9.4 (Jose4j)

до 9.1.3-4 (Libercat Certified EE)

до 8.0.16-9 (Libercat Certified EE)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://bitbucket.org/b_c/jose4j/issues/212

https://bitbucket.org/b_c/jose4j/downloads/

https://bitbucket.org/b_c/jose4j/commits/1afaa1e174b3

Компенсирующие меры:

Установите верхний предел для параметра p2c.

Для Libercat Certified:

Обновление ПО до актуальной версии

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-51775
CVE

EPSS

Процентиль: 62%

0.00429

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2023-51775

CVSS3: 6.5

ubuntu

почти 2 года назад

The jose4j component before 0.9.4 for Java allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value.

CVE-2023-51775

CVSS3: 7.5

redhat

почти 2 года назад

The jose4j component before 0.9.4 for Java allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value.

CVE-2023-51775

CVSS3: 6.5

nvd

почти 2 года назад

The jose4j component before 0.9.4 for Java allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value.

CVE-2023-51775

CVSS3: 6.5

debian

почти 2 года назад

The jose4j component before 0.9.4 for Java allows attackers to cause a ...

GHSA-6qvw-249j-h44c

CVSS3: 6.5

github

почти 2 года назад

jose4j denial of service via specifically crafted JWE

EPSS

Процентиль: 62%

0.00429

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2