BDU:2025-09559

Опубликовано: 07 авг. 2025

Источник: fstec

CVSS3: 9.1

CVSS2: 9.4

EPSS Низкий

Описание

Уязвимость реализации стандарта JSON Web Encryption (JWE) RFC 7516 языка программирования Ruby связана с некорректной проверкой целостности данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть и изменить защищаемую информацию

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

JSON Web Encryption (JWE)

Версия ПО

до 1.1.1 (JSON Web Encryption (JWE))

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,1)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования для фильтрации сетевого трафика;

- использование DLP-систем для контроля действий пользователей с целью предотвращения утечки защищаемой информации;

- ключей шифрования в случае выявления факта их компрометации;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимости.

Использование рекомендаций:

https://github.com/jwt/ruby-jwe/commit/1e719d79ba3d7aadaa39a2f08c25df077a0f9ff1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-54887
CVE

EPSS

Процентиль: 1%

0.00008

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVE-2025-54887

CVSS3: 9.1

nvd

6 месяцев назад

jwe is a Ruby implementation of the RFC 7516 JSON Web Encryption (JWE) standard. In versions 1.1.0 and below, authentication tags of encrypted JWEs can be brute forced, which may result in loss of confidentiality for those JWEs and provide ways to craft arbitrary JWEs. This puts users at risk because JWEs can be modified to decrypt to an arbitrary value, decrypted by observing parsing differences and the GCM internal GHASH key can be recovered. Users are affected by this vulnerability even if they do not use an AES-GCM encryption algorithm for their JWEs. As the GHASH key may have been leaked, users must rotate the encryption keys after upgrading. This issue is fixed in version 1.1.1.

GHSA-c7p4-hx26-pr73

CVSS3: 9.1

github

6 месяцев назад

JWE is missing AES-GCM authentication tag validation in encrypted JWE

EPSS

Процентиль: 1%

0.00008

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2