PT-2021-18221 · Unknown · Jose-Node-Cjs-Runtime

Morgan Brown · Publicado 2021-04-16 · Atualizado 2023-03-21 · CVE-2021-29446

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do jose-node-cjs-runtime anteriores à 3.11.4

Descrição:

A descriptografia do algoritmo AES CBC HMAC SHA2 no pacote jose-node-cjs-runtime apresenta uma diferença de tempo quando ocorre um erro de preenchimento, criando um oráculo de preenchimento. Isso permite que um invasor possa potencialmente descriptografar dados sem conhecer a chave de descriptografia, fazendo em média 128*b chamadas ao oráculo de preenchimento, onde b é o número de bytes no bloco de texto cifrado.

Recomendações:

Para versões anteriores à 3.11.4, atualize para a versão 3.11.4 ou posterior para garantir que a tag HMAC seja verificada antes de realizar a descriptografia CBC.

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-208

CWE-696

CWE-203

Identificadores relacionados

CVE-2021-29446

GHSA-RVCW-F68W-8H8H

Produtos afetados

Jose-Node-Cjs-Runtime

Referências · 6

• https://github.com/panva/jose · Nota
• https://github.com/panva/jose/security/advisories/GHSA-rvcw-f68w-8h8h · Nota
• https://npmjs.com/package/jose-node-cjs-runtime · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-29446 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-29446 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rvcw-f68w-8h8h · Aviso do Fabricante