Към съдържанието
Търсене

CVE-2024-28180: go-jose, отказ на услуга

4.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Package jose aims to provide an implementation of the Javascript Object Signing and Encryption set of standards. An attacker could send a JWE containing compressed data that used large amounts of memory and CPU when decompressed by Decrypt or DecryptMulti. Those functions now return an error if the decompressed data would exceed 250kB or 10x the compressed size (whichever is larger). This vulnerability has been patched in versions 4.0.1, 3.0.3 and 2.6.3.

Засегнати продукти

  • go-jose go-jose: < 4.0.1; < 3.0.3; < 2.6.3
  • go-jose_project go-jose: преди 4.0.1; преди 3.0.3; преди 2.6.3

Вид слабост

История

  • 9 март 2024 Публикувано

Други уязвимости в go-jose go-jose

Първоизточници

CVE-2024-28180: go-jose, отказ на услуга | freedomonline.bg