PT-2024-2567 · Unknown+2 · Erlang-Jose+2

P3Ngu1Nw · Publicado 2024-03-19 · Atualizado 2024-08-02 · CVE-2023-50966

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Versões do erlang-jose até a 1.11.6

Descrição

O problema está relacionado a um consumo descontrolado de recursos no módulo erlang-jose, utilizado para assinatura e criptografia de objetos JSON nas linguagens Erlang e Elixir. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço por meio do consumo de CPU, utilizando um valor p2c (PBES2 Count) elevado em um cabeçalho JOSE.

Recomendações

Para versões até 1.11.6, limite o acesso ao módulo vulnerável e monitore o uso para minimizar o risco de exploração. Aguarde um patch para uma correção permanente.

Exploit

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

AZL-39719

AZL-39857

BDU:2024-02605

CVE-2023-50966

GHSA-9MG4-V392-8J68

Produtos afetados

Debian

Red Os

Erlang-Jose

Referências · 29

• 🔥 https://github.com/P3ngu1nW/CVE_Request/blob/main/erlang-jose.md · Exploit
• https://github.com/potatosalad/erlang-jose · Nota
• https://github.com/potatosalad/erlang-jose/issues/156 · Nota
• https://github.com/potatosalad/erlang-jose/commit/718d213f07b08056737923f8063d5df56dcb66ae · Nota
• https://twitter.com/oktsec/status/1770413144738771088 · Publicação no Twitter
• https://twitter.com/oktsec/status/1770175546913095779 · Publicação no Twitter
• https://hexdocs.pm/jose/JOSE.html · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2023-50966 · Aviso do Fabricante
• https://osv.dev/vulnerability/AZL-39719 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1770130884118630403 · Publicação no Twitter
• https://t.me/cvenotify/74253 · Publicação no Telegram
• https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16 · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2023-50966 · Nota
• https://osv.dev/vulnerability/AZL-39857 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-50966 · Nota de Segurança