Vulnerabilidad en Go (CVE-2023-49290)

lestrrat-go/jwx es un módulo Go que implementa varias tecnologías JWx (JWA/JWE/JWK/JWS/JWT, también conocidas como JOSE). Un parámetro p2c establecido demasiado alto en el algoritmo PBES2-* de JWE podría provocar una denegación de servicio. Los algoritmos de gestión de claves JWE basados en PBKDF2 requieren un parámetro de encabezado JOSE llamado p2c (PBES2 Count). Este parámetro dicta el número de iteraciones de PBKDF2 necesarias para derivar una clave de envoltura CEK. Su objetivo principal es ralentizar intencionalmente la función de derivación de claves, haciendo que los ataques de fuerza bruta a contraseñas y de diccionario requieran más recursos. Por lo tanto, si un atacante establece el parámetro p2c en JWE en un número muy grande, puede provocar un gran consumo computacional, lo que resultará en una denegación de servicio. Esta vulnerabilidad se solucionó en el commit `64f2a229b` que se incluyó en las versiones 1.2.27 y 2.0.18. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.