Panva

**Nome do Software Vulnerável e Versões Afetadas** Versões do Node.js de 20.x a 24.x **Descrição** O Node.js está suscetível a um problema de crash remoto devido a uma falha na função `SignTraits::DeriveBits()`. Essa falha pode ser acionada por entradas criptográficas malformadas em threads em segundo plano, resultando em uma condição de negação de serviço. O problema origina-se de uma chamada incorreta à `ThrowException()` baseada em entradas fornecidas pelo usuário. Aproximadamente 17 milhões de sistemas estão potencialmente afetados. **Recomendações** Atualize o Node.js para a versão mais recente para corrigir este problema.

**Nome do software vulnerável e versões afetadas** Versões do JOSE anteriores à v1.28.2 Versões do JOSE anteriores à v2.0.6 Versões do JOSE anteriores à v3.20.4 Versões do JOSE anteriores à v4.9.2 **Descrição** Os algoritmos de gerenciamento de chaves JWE baseados em PBKDF2 no JOSE esperam um parâmetro de cabeçalho JOSE chamado `p2c` (PBES2 Count), que determina o número de iterações PBKDF2 para derivar uma chave de encapsulamento CEK. Esse parâmetro retarda intencionalmente a função de derivação de chaves para tornar os ataques de força bruta e de dicionário mais dispendiosos. No entanto, isso torna os algoritmos PBES2 inadequados para situações em que o JWE provém de uma fonte não confiável, pois um adversário pode escolher um valor extremamente alto para a contagem PBES2, iniciando um cálculo dependente da CPU que pode levar um tempo excessivo para ser concluído. O impacto se limita aos usuários que utilizam as APIs de descriptografia JWE com segredos simétricos para descriptografar JWEs de partes não confiáveis que não limitam os algoritmos de gerenciamento de chaves JWE aceitos. **Recomendações** Para versões anteriores à v1.28.2, atualize para a v1.28.2 ou posterior para limitar a contagem máxima de iterações do PBKDF2 a 10.000 por padrão. Para versões anteriores à v2.0.6, atualize para a v2.0.6 ou posterior para limitar a contagem máxima de iterações do PBKDF2 a 10.000 por padrão. Para versões anteriores à v3.20.4, atualize para a v3.20.4 ou posterior para limitar a contagem máxima de iterações do PBKDF2 a 10.000 por padrão. Para versões anteriores à v4.9.2, atualize para a v4.9.2 ou posterior para limitar a contagem máxima de iterações do PBKDF2 a 10.000 por padrão. Como medida temporária