PT-2022-23172 · Jose · Jose

Panva + 1 · Publicado 2022-09-07 · Atualizado 2023-07-21 · CVE-2022-36083

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Nome do software vulnerável e versões afetadas

Versões do JOSE anteriores à v1.28.2

Versões do JOSE anteriores à v2.0.6

Versões do JOSE anteriores à v3.20.4

Versões do JOSE anteriores à v4.9.2

Descrição

Os algoritmos de gerenciamento de chaves JWE baseados em PBKDF2 no JOSE esperam um parâmetro de cabeçalho JOSE chamado p2c (PBES2 Count), que determina o número de iterações PBKDF2 para derivar uma chave de encapsulamento CEK. Esse parâmetro retarda intencionalmente a função de derivação de chaves para tornar os ataques de força bruta e de dicionário mais dispendiosos. No entanto, isso torna os algoritmos PBES2 inadequados para situações em que o JWE provém de uma fonte não confiável, pois um adversário pode escolher um valor extremamente alto para a contagem PBES2, iniciando um cálculo dependente da CPU que pode levar um tempo excessivo para ser concluído. O impacto se limita aos usuários que utilizam as APIs de descriptografia JWE com segredos simétricos para descriptografar JWEs de partes não confiáveis que não limitam os algoritmos de gerenciamento de chaves JWE aceitos.

Recomendações

Para versões anteriores à v1.28.2, atualize para a v1.28.2 ou posterior para limitar a contagem máxima de iterações do PBKDF2 a 10.000 por padrão.

Para versões anteriores à v2.0.6, atualize para a v2.0.6 ou posterior para limitar a contagem máxima de iterações do PBKDF2 a 10.000 por padrão.

Para versões anteriores à v3.20.4, atualize para a v3.20.4 ou posterior para limitar a contagem máxima de iterações do PBKDF2 a 10.000 por padrão.

Para versões anteriores à v4.9.2, atualize para a v4.9.2 ou posterior para limitar a contagem máxima de iterações do PBKDF2 a 10.000 por padrão.

Como medida temporária

Exploit

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

CWE-834

Identificadores relacionados

CVE-2022-36083

GHSA-JV3G-J58F-9MQ9

Produtos afetados

Jose

Referências · 15

• 🔥 https://github.com/panva/jose/security/advisories/GHSA-jv3g-j58f-9mq9 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/36xxx/CVE-2022-36083.json · Exploit
• https://github.com/panva/jose · Nota
• https://github.com/panva/jose/commit/03d6d013bf6e070e85adfe5731f526978e3e8e4d · Correção
• https://github.com/panva/jose/releases/tag/v4.9.2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-36083 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-36083 · Aviso do Fabricante
• https://t.me/cibsecurity/49413 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2022-36083 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-jv3g-j58f-9mq9 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2022-36083 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-36083 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-36083 · Nota de Segurança
• https://t.me/cvenotify/35836 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-36083 · Aviso do Fabricante