BDU:2026-01020

Опубликовано: 05 мар. 2024

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость JWT-библиотеки Jose4j связана с неправильной защитой токенов безопасности. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Red Hat Inc.

Fedora Project

ООО «Ред Софт»

Сообщество свободного программного обеспечения

Наименование ПО

OpenShift Developer Tools and Services

OpenShift Serverless

Red Hat build of Apicurio Registry

Fedora

РЕД ОС

apache-kafka

Jose4j

Версия ПО

- (OpenShift Developer Tools and Services)

- (OpenShift Serverless)

2 (Red Hat build of Apicurio Registry)

42 (Fedora)

43 (Fedora)

8.0 (РЕД ОС)

до 4.1.1 (apache-kafka)

До 0.9.6 (Jose4j)

3 (Red Hat build of Apicurio Registry)

Тип ПО

Прикладное ПО информационных систем

Операционная система

Операционные системы и аппаратные платформы

Fedora Project Fedora 42

Fedora Project Fedora 43

ООО «Ред Софт» РЕД ОС 8.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Jose4j:

Обновление программного обеспечения до версий 0.9.6:

https://bitbucket.org/b_c/jose4j/commits/19a90a64c47b

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2024-29371

Для Fedora:

https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2024-29371

Для Ред ОС:

http://repo.red-soft.ru/redos/8.0/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-29371
CVE

EPSS

Процентиль: 9%

0.00033

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20260122-73-0034

CVSS3: 7.5

redos

13 дней назад

Уязвимость apache-kafka

CVE-2024-29371

CVSS3: 7.5

ubuntu

около 2 месяцев назад

In jose4j before 0.9.6, an attacker can cause a Denial-of-Service (DoS) condition by crafting a malicious JSON Web Encryption (JWE) token with an exceptionally high compression ratio. When this token is processed by the server, it results in significant memory allocation and processing time during decompression.

CVE-2024-29371

CVSS3: 7.5

nvd

около 2 месяцев назад

CVE-2024-29371

CVSS3: 7.5

debian

около 2 месяцев назад

In jose4j before 0.9.6, an attacker can cause a Denial-of-Service (DoS ...

GHSA-3677-xxcr-wjqv

CVSS3: 7.5

github

около 2 месяцев назад

jose4j is vulnerable to DoS via compressed JWE content

EPSS

Процентиль: 9%

0.00033

Низкий

7.5 High

CVSS3

7.8 High

CVSS2