PT-2026-30011 · Go Jose+2 · Go-Jose+2
CVE-2026-34986
·
Publicado
2026-04-03
·
Atualizado
2026-07-31
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Name of the Vulnerable Software and Affected Versions
Go JOSE versões anteriores a 4.1.4 e versões anteriores a 3.0.5
Description
Go JOSE, uma implementação dos padrões Javascript Object Signing and Encryption em Go, está suscetível a uma negação de serviço. Ao descriptografar um objeto JSON Web Encryption (JWE), ocorre um pânico se o campo
alg indicar um algoritmo de encapsulamento de chave (terminando em KW, excluindo A128GCMKW, A192GCMKW e A256GCMKW) e o campo encrypted key estiver vazio. Este pânico surge de cipher.KeyUnwrap() em key wrap.go tentando alocar uma fatia com um comprimento inválido. O problema é acionado por meio de ParseEncrypted(), ParseEncryptedJSON() ou ParseEncryptedCompact() seguido por Decrypt(). A vulnerabilidade também pode ser alcançada chamando diretamente cipher.KeyUnwrap() com um parâmetro de texto cifrado menor que 16 bytes.Recommendations
Atualize para a versão 4.1.4 ou 3.0.5 do Go JOSE para resolver este problema.
Exploit
Correção
DoS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Go-Jose
Red Os
Rocky Linux