Vulnerabilidad en OpenIDC/cjose (CVE-2023-37464)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-327 Uso de algoritmo criptográfico vulnerable o inseguro

Fecha de publicación:

14/07/2023

Última modificación:

15/09/2023

Descripción

OpenIDC/cjose es una biblioteca C que implementa Javascript Object Signing and Encryption (JOSE). La rutina de descifrado AES GCM utiliza incorrectamente la longitud de la etiqueta de la etiqueta de autenticación real proporcionada en el JWE. La especificación dice que se debe aplicar una longitud fija de 16 octetos. Por lo tanto, este error permite a un atacante proporcionar una etiqueta de autenticación truncada y modificar el JWE en consecuencia. Los usuarios deben actualizar a una versión &gt;= 0.6.2.2. Los usuarios que no puedan actualizar deben evitar el uso del cifrado AES GCM y reemplazarlo con otro algoritmo de cifrado (por ejemplo, AES CBC).

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno