Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-89320 Pérdida de integridad en JWE AES-CBC-HMAC por HmacShaCryptor.Hash que no procesa la entrada

HmacShaCryptor.Hash nunca procesa su entrada y devuelve siempre HMAC_K(""), el MAC del mensaje vacío bajo la clave. Cada JWE AES-CBC-HMAC producido o verificado por gose lleva una etiqueta de autenticación constante por clave e independiente del mensaje, lo que elimina por completo la integridad del texto cifrado.

Alerta de Nureq Monitor

Detectada 23 OCT · 08:35

CVSS 4.0

8.8ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,2 % PERCENTIL 7

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-89320

HmacShaCryptor.Hash nunca procesa su entrada y devuelve siempre HMAC_K(""), el MAC del mensaje vacío bajo la clave. Cada JWE AES-CBC-HMAC producido o verificado por gose lleva una etiqueta de autenticación constante por clave e independiente del mensaje, lo que elimina por completo la integridad del texto cifrado.

Productos y versiones afectadas

  • Eclipse Foundation Eclipse KeyPont - GOSE

    • desde 0.9.0 hasta 0.13.0-rc1

  • Eclipse Foundation Eclipse KeyPont - GOSE

    • hasta antes de 1.0.0-rc1

Qué hacer

  1. Verificá si usás Eclipse KeyPont - GOSE y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.8 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
REQUISITOS DEL ATAQUE (AT)
Ninguno
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Baja
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Alta
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Ninguna

Abrir la calculadora completa

Descripción original

`HmacShaCryptor.Hash` never hashed its input. For any input it returned `HMAC_K("")` — the MAC of the empty message under the key. Every AES-CBC-HMAC JWE produced or verified by gose therefore carried an authentication tag that is constant per key and independent of the message, removing ciphertext integrity entirely.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.