Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-02139

Опубликовано: 07 мар. 2024
Источник: fstec
CVSS3: 6.8
CVSS2: 6.1
EPSS Низкий

Описание

Уязвимость библиотеки jwx языка программирования Go связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного токена веб-шифрования JSON (JWE)

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

jwx

Версия ПО

до 1.2.29 (jwx)
до 2.0.21 (jwx)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,1)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://github.com/lestrrat-go/jwx/security/advisories/GHSA-hj3v-m684-v259
https://github.com/lestrrat-go/jwx/releases/tag/v1.2.29
https://github.com/lestrrat-go/jwx/releases/tag/v2.0.21

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 36%
0.0015
Низкий

6.8 Medium

CVSS3

6.1 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.8
redhat
почти 2 года назад

JWX is Go module implementing various JWx (JWA/JWE/JWK/JWS/JWT, otherwise known as JOSE) technologies. This vulnerability allows an attacker with a trusted public key to cause a Denial-of-Service (DoS) condition by crafting a malicious JSON Web Encryption (JWE) token with an exceptionally high compression ratio. This issue has been patched in versions 1.2.29 and 2.0.21.

CVSS3: 6.8
nvd
почти 2 года назад

JWX is Go module implementing various JWx (JWA/JWE/JWK/JWS/JWT, otherwise known as JOSE) technologies. This vulnerability allows an attacker with a trusted public key to cause a Denial-of-Service (DoS) condition by crafting a malicious JSON Web Encryption (JWE) token with an exceptionally high compression ratio. This issue has been patched in versions 1.2.29 and 2.0.21.

CVSS3: 6.8
github
почти 2 года назад

JWX vulnerable to a denial of service attack using compressed JWE message

EPSS

Процентиль: 36%
0.0015
Низкий

6.8 Medium

CVSS3

6.1 Medium

CVSS2