Invalid Curve Attack in node-jose

TRUNG BÌNH 5.9CVE-2017-16007 · GHSA-rvj9-8cvx-3vq9 · Công bố 04/06/2018 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2017-16007 là lỗ hổng mức TRUNG BÌNH (CVSS 5.9) ảnh hưởng node-jose (cisco), node-jose.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.91%, cao hơn 60.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.9.3 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
node-jose cisco	`< 0.9.3`	`0.9.3`
node-jose npm	`< 0.9.3`	`0.9.3`

Mô tả

Affected versions of node-jose are vulnerable to an invalid curve attack. This allows an attacker to recover the private secret key when JWE with Key Agreement with Elliptic Curve Diffie-Hellman Ephemeral Static (ECDH-ES) is used.

Proof of Concept

Recommendation

Update to version 0.9.3 or later.

Mô tả của NVD

node-jose is a JavaScript implementation of the JSON Object Signing and Encryption (JOSE) for current web browsers and node.js-based servers. node-jose earlier than version 0.9.3 is vulnerable to an invalid curve attack. This allows an attacker to recover the private secret key when JWE with Key Agreement with Elliptic Curve Diffie-Hellman Ephemeral Static (ECDH-ES) is used.