Padding oracle vulnerability in github.com/lestrrat-go/jwx

GHSA-rm8v-mxj3-5rmq · GO-2023-1859 · 22/06/2023 公開 · 20/05/2024 更新

要点

GO-2023-1859 は github.com/lestrrat-go/jwx, github.com/lestrrat-go/jwx/v2 に影響する深刻度「未評価」の脆弱性です。
対処：1.2.26, 2.0.11-0.20230614080639-c8b6bec919a1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/lestrrat-go/jwx Go	`< 1.2.26`	`1.2.26`
github.com/lestrrat-go/jwx/v2 Go	`< 2.0.11-0.20230614080639-c8b6bec919a1`	`2.0.11-0.20230614080639-c8b6bec919a1`

AES-CBC decryption is vulnerable to a timing attack which may permit an attacker to recover the plaintext of JWE data.

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。