🇰🇷 한글 설명
python-jose 3.3.0 버전의 jwe.decrypt에서 발생하는 취약점으로, 공격자가 악의적인 JSON Web Encryption(JWE) 토큰을 생성하여 서비스 거부(Denial-of-Service, DoS) 조건을 유발할 수 있습니다. 이 토큰이 서버에서 처리될 때, 압축 해제过程에서大量의 메모리 할당과 처리 시간이 소요됩니다.
💡 쉬운 설명
이 취약점은 공격자가 특정 조건의 JSON Web Encryption 토큰을 만들어 서버의 메모리와 처리 시간을大量으로 소모시켜 서비스를 중단시킬 수 있습니다. 이는 python-jose 3.3.0 버전에서 발생하며, 업그레이드 또는 패치가 필요합니다.
🇺🇸 원문 (English)
In python-jose 3.3.0 (specifically jwe.decrypt), a vulnerability allows an attacker to cause a Denial-of-Service (DoS) condition by crafting a malicious JSON Web Encryption (JWE) token with an exceptionally high compression ratio. When this token is processed by the server, it results in significant memory allocation and processing time during decompression.
📍 영향받는 시스템
python-jose 3.3.0
⚔️ 공격 벡터
공격자는 악의적인 JSON Web Encryption(JWE) 토큰을 생성하여 서버에 전송할 수 있습니다.
🛡️ 대응 방법
python-jose를 최신 버전으로 업그레이드하거나, 공식 패치 적용
🔧 검증 코드
로컬 시스템에서 python-jose 패키지의 버전을 확인하여 취약점 여부를 판단합니다. Python이 설치된 환경에서 실행해야 하며, 의존성 패키지 설치가 필요할 수 있습니다.
import pkg_resources
version = pkg_resources.get_distribution('python-jose').version
if version == '3.3.0':
print({"result": "취약", "reason": "python-jose 버전이 3.3.0"})
else:
print({"result": "양호", "reason": "python-jose 버전이 3.3.0이 아님"})