CVE-2026-89314

ŚrednieCVSS 6.9

Opublikowano: 23/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 23/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Funkcja jwkFields.CheckConsistency wykrywała zduplikowane wpisy key_ops przy użyciu zagnieżdżonej pętli, przez co koszt walidacji rósł kwadratowo wraz z liczbą wpisów. Ponieważ sprawdzenie uruchamiane jest przy każdym unmarshal JWK i JWKS, umiarkowanie duży, ale wrogi dokument JWKS może zajmować rdzeń CPU przez wiele sekund.

Ocena ryzyka

Atakujący może dostarczyć złośliwy dokument JWKS powodujący wyczerpanie CPU (odmowa usługi) w usługach przetwarzających JWKS. Może to prowadzić do spowolnienia lub niedostępności usługi uwierzytelniania.

Rekomendacja

Zaktualizuj bibliotekę do wersji zawierającej poprawkę oraz ogranicz rozmiar i liczbę wpisów w przetwarzanych dokumentach JWKS. Rozważ monitorowanie czasu przetwarzania JWKS w celu wykrywania prób ataku.

Inne podatności w JWK/JWKS library

CVE-2026-89313Średnie
Funkcja JwksTrustStore.Get przypisywała każdy sparsowany klucz do nazwanego zwracanego parametru funkcji podczas odświeżania pamięci podręcznej JWKS. Gdy żądany kid nie istniał, końcowe nagie return zwracało wywołującemu ostatni klucz z dokumentu JWKS wraz z błędem nil — błędną odpowiedź zamiast informacji o braku klucza.

Oryginalny opis (angielski, źródło NVD)

`jwkFields.CheckConsistency` detected duplicate `key_ops` entries with a pairwise nested loop, making validation cost grow with the **square** of the entry count. Because the check runs on every JWK and JWKS unmarshal, a modestly sized but hostile JWKS document could occupy a CPU core for many seconds.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS