ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
### الملخص محلل الإعراب العام `joserfc.jwe.decrypt_json()` الخاص بالمكتبة لـ JWE General JSON Serialization يقبل مصفوفة `recipients` ذات طول غير محدود يتحكم بها المهاجم ويقوم بتنفيذ عملية فك تشفير واحدة كاملة باستخدام المفتاح الخاص (`decrypt_cek`) لكل مستلم موجود في المدخلات، دون وجود حد أقصى لعدد المستلمين. يمكن لمهاجم شبكة دون مصادقة يستطيع إرسال مستند JWE General JSON إلى أي نقطة نهاية تقوم بفك تشفيره باستخدام مفتاح RSA (مثل RSA-OAEP) إجبار الضحية على تنفيذ عدد عشوائي يختاره المهاجم من عمليات فك تشفير المفتاح الخاص بـ RSA من خلال طلب HTTP واحد وصغير نسبياً. يمنح هذا المهاجم آلية استهلاك معالج غير متكافئة للغاية (حجب الخدمة): يظهر إعادة الإنتاج المحلي نمو حجم الطلب بشكل خطي مع عدد المستلمين (~396 بايت/مستلم) بينما ينمو وقت المعالجة في جانب الخادم بحد السواء (نسبة قريبة من 1:1 بين نمو عدد المستلمين ونمو وقت فك التشفير)، وخيار التخفيف الوحيد الموثق في المكتبة، وهو `verify_all_recipients=False`، لا يقلل من تكلفة المعالج، حيث تحاول حلقة فك التشفير استدعاء `decrypt_cek()` لكل مستلم دون شرط قبل مراجعة هذا العلم. هذه الثغرة تصنف ضمن CWE-400 (Uncontrolled Resource Consumption) بـ CVSS v3.1 Base Score قدره 7.5 (High). ### التفاصيل تقوم `joserfc` بالتحقق من صحة ووضع حد أقصى للعديد من العناصر الهيكلية لـ JWE (حجم الهيدر المحمي، حجم المفتاح المشفر، حجم IV، حجم النص المشفر، وحجم auth-tag) داخل `src/joserfc/_rfc7516/registry.py`، ولكنها لا تجري أي تحقق على الإطلاق على عدد المدخلات في مصفوفة `recipients` لشيء JWE General JSON Serialization. تدفق البيانات (من المصدر إلى المصب)، تم التحقق منه مباشرة من سورس الموديل في التعهد `26a10275e88276184f91ae2a6409647bfac7fea5` (joserfc 1.7.4): 1. `src/joserfc/jwe.py:214` - نقطة دخول المحلل العام `decrypt_json(data, private_key, ...)` وهي API موثقة ودون مصادقة (عند حدود المكتبة) لتحليل JWE JSON المقدمة من الخارج. 2. `src/joserfc/jwe.py:238` - إذا كانت "recipients"...
المعالجة
المراجع
- تحذيرhttps://github.com/advisories/GHSA-jpxq-7h8p-2q76
- مرجعhttps://github.com/authlib/joserfc/security/advisories/GHSA-jpxq-7h8p-2q76
- مرجعhttps://nvd.nist.gov/vuln/detail/CVE-2026-119283
- مرجعhttps://github.com/authlib/joserfc/commit/d6dc8df6c7609277e741069d3733e43996c1cd17
- مرجعhttps://github.com/authlib/joserfc/releases/tag/1.7.5