🇰🇷 한글 설명
python-jose 1.3.2 이전 버전에서 HMAC 키 비교 시 상수 시간 비교를 사용하지 않아 타이밍 공격에 취약합니다. 공격자는 응답 시간의 미세한 차이를 분석하여 유효한 서명을 위조하고 인증을 우회할 수 있습니다.
💡 쉬운 설명
HMAC 검증 과정에서 비교 시간의 차이를 악용해 공격자가 가짜 서명을 만들 수 있습니다. 응답 시간으로부터 한 글자씩 비밀값을 추측하는 타이밍 공격입니다.
🇺🇸 원문 (English)
python-jose before 1.3.2 allows attackers to have unspecified impact by leveraging failure to use a constant time comparison for HMAC keys.
📍 영향받는 시스템
python-jose < 1.3.2
⚔️ 공격 벡터
타이밍 분석(Timing Side-Channel)을 통한 HMAC 검증 우회 및 JWT 서명 위조
🛡️ 대응 방법
python-jose를 1.3.2 이상으로 업그레이드 (pip install --upgrade python-jose==1.3.2)
🔧 검증 코드
Version 1.3.2 이상이면 안전, 1.3.2 미만이면 취약 (즉시 업그레이드 필요)
pip show python-jose 2>/dev/null | grep Version