CVE-2024-28180

Vulnérabilité moyenne dans go-jose (go-jose)

CVSS 4.3 · Moyenne

EPSS 2.0%

go-jose•go-jose•Versions : < 4.0.1, < 3.0.3, < 2.6.3

Description

Package jose aims to provide an implementation of the Javascript Object Signing and Encryption set of standards. An attacker could send a JWE containing compressed data that used large amounts of memory and CPU when decompressed by Decrypt or DecryptMulti. Those functions now return an error if the decompressed data would exceed 250kB or 10x the compressed size (whichever is larger). This vulnerability has been patched in versions 4.0.1, 3.0.3 and 2.6.3.

Gravité et risque d'exploitation

CVE-2024-28180 obtient un score CVSS de 4.3/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 1.96 %, ce qui la place devant 80.0 % des CVE référencées.

Que faire ?

Vérifiez si go-jose (versions < 4.0.1, < 3.0.3, < 2.6.3) est présent sur votre parc.
Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

CVE-2024-28180

Description

Gravité et risque d'exploitation

Que faire ?

Références