Veille sécuritéSystèmes & serveurs
P4Non déterminée
Dans cjose, le chiffrement de JWE avec A128CBC-HS256, A192CBC-HS384 ou A256CBC-HS512 pouvait produire une clé de contenu composée d’octets nuls lorsque l’algorithme de gestion de clé générait une nouvelle clé. Un détenteur du jeton peut alors lire et modifier son contenu, y compris celui d’un jeton déjà émis.
Debian
IdentifiantCVE-2026-53939
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : DLA-4887-1 cjose – security update
Analyse technique
La génération d’une nouvelle clé de chiffrement de contenu pour les algorithmes AES-CBC-HMAC concernés aboutissait à une clé remplie d’octets nuls.
Impact, versions et correctif
Événement datéAvis DLA-4887-1 publié le 2026-11-07 (date fournie par la source), dans la période demandée.
ImpactLa confidentialité et l’intégrité du contenu des JWE concernés sont compromises; le contenu peut être lu et modifié par quiconque obtient le jeton.
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,25% · percentile 15,8%
Publication2026-11-07T00:00:00+00:00
Mise à jour2026-11-07T00:00:00+00:00
Action recommandée
Appliquer la mise à jour Debian correspondant à DLA-4887-1.
Sources
Priorisation DFS : P4 · 1 source(s).