CVE-2026-109425
Publiée le 2026-10-12 · Dernière modification le 2026-10-16
Les applications utilisant la bibliothèque de cryptographie Tink-go (version 2.8.0 et versions antérieures) sont affectées par une faille dans la manière dont les jeux de clés publiques sont validés. Un attaquant non authentifié disposant d'un accès réseau peut fournir un jeu de clés malformé qui contourne les vérifications structurelles, ce qui pourrait amener votre application à traiter des clés invalides ou « détruites » comme étant valides. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exécution est relativement simple si votre système accepte des jeux de clés externes.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Tink-go (tink-crypto/tink-go) through 2.8.0 contains an input-validation vulnerability where keyset.NewHandleWithNoSecrets() and ReadWithNoSecrets() skip the structural Validate() step before constructing a keyset.Handle, allowing malformed public or no-secret keysets that violate Tink's keyset invariants to be accepted. Attackers can supply a malformed keyset, such as one with an enabled public key lacking a valid primary key or a DESTROYED key with no KeyData, causing inconsistent downstream validation where functions like jwt.JWKSetFromPublicKeysetHandle() process the invalid handle and produce a JWK set, potentially misleading applications that rely on successful handle construction as proof of keyset integrity.