🇰🇷 한글 설명
Common 패키지의 특정 버전에서 JSON Web Token(JWT)의 서명을 제대로 검증하지 못하는 취약점이 발견되었습니다. 이로 인해 공격자가 유효한 JWT를 위조할 수 있으며, 결과적으로 인증을 우회할 수 있는 위험이 있습니다.
💡 쉬운 설명
로그인 정보가 담긴 디지털 증명서의 위조 방지 기능이 제대로 작동하지 않는 문제입니다. 이를 통해 해커가 가짜 증명서를 만들어 시스템에 몰래 접속할 수 있습니다.
🇺🇸 원문 (English)
Common is a package of common modules that can be accessed by NIMBLE services. Common before commit number 3b96cb0293d3443b870351945f41d7d55cb34b53 did not properly verify the signature of JSON Web Tokens. This allows someone to forge a valid JWT. Being able to forge JWTs may lead to authentication bypasses. Commit number 3b96cb0293d3443b870351945f41d7d55cb34b53 contains a patch for the issue. As a workaround, one may use the parseClaimsJws method to correctly verify the signature of a JWT.
📍 영향받는 시스템
Common package (commit 3b96cb0293d3443b870351945f41d7d55cb34b53 이전 버전)
⚔️ 공격 벡터
조작된 서명을 가진 JWT를 생성하여 인증 과정을 우회하는 방식
🛡️ 대응 방법
패치된 커밋(3b96cb0293d3443b870351945f41d7d55cb34b53)을 적용하거나 parseClaimsJws 메서드를 사용하여 서명을 검증하도록 코드를 수정해야 합니다.
🔧 검증 코드
명령어 결과가 'Patched'이면 안전하며, 'Vulnerable'이면 취약한 상태입니다.
git log -1 --format=%H | grep -q '3b96cb0293d3443b870351945f41d7d55cb34b53' && echo 'Patched' || echo 'Vulnerable'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access