BDU:2024-04682

Уязвимость компонента JWE Token Handler технологии подписи и шифрования объектов JavaScript на Python, связана с неконтролируемым расходом ресурсов, позволяющая нарушителю вызывать отказ в обслуживании

Опубликовано: 2024-06-20

Описание

Уязвимость компонента JWE Token Handler технологии подписи и шифрования объектов JavaScript на Python связана с высоким потреблением ресурсов во время декодирования с помощью созданного токена JSON Web Encryption. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

РЕД ОС (7.3)Python-jose (от 3.0 до 3.3 включительно)

Способ устранения

Для Python-jose:
https://github.com/mpdavis/python-jose/pull/352/commits/ff3357d9f91b93bc957aac9bc5a447c5c0bb74da

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	6.1 — средняя опасность

Источники и патчи

https://github.com/mpdavis/python-jose/issues/344 https://github.com/mpdavis/python-jose/pull/345 https://github.com/mpdavis/python-jose/pull/352/commits/ff3357d9f91b93bc957aac9bc5a447c5c0bb74da https://redos.red-soft.ru/support/secure/

Проверьте безопасность своего сайта и почты → Полная проверка домена