CVE-2026-50268
Publiée le 2026-06-17 · Dernière modification le 2026-10-26
Les applications cloud-native utilisant Steeltoe.Configuration.Encryption (versions 4.0.0 à 4.1.0) peuvent utiliser une norme de chiffrement moins robuste que prévu lorsqu'elles sont configurées pour OAEP. Un attaquant disposant de privilèges système locaux de haut niveau pourrait potentiellement exploiter cette faille pour déchiffrer des données de configuration sensibles, bien que cela soit techniquement difficile. Cette action nécessite un accès local au système et n'implique ni attaques réseau à distance, ni interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Steeltoe is an open source project that provides a collection of libraries that helps users build cloud-native applications. In Steeltoe.Configuration.Encryption 4.0.0 through 4.1.0, configuring `encrypt:rsa:algorithm=OAEP` does not enable OAEP encryption. Due to an incorrect BouncyCastle transformation string, the `OAEP` setting selects PKCS#1 v1.5, which is the same algorithm as the `DEFAULT` setting. Steeltoe.Configuration.Encryption version 4.2.0 patches the issue.