🇰🇷 한글 설명
auth0/node-jws 라이브러리의 특정 버전에서 HS256 알고리즘 사용 시 부적절한 서명 검증 취약점이 발견되었습니다. 공격자가 JWS 헤더나 페이로드의 사용자 제공 데이터를 HMAC 비밀 키 조회 루틴에 사용할 경우 서명 검증을 우회할 수 있습니다.
💡 쉬운 설명
인증을 확인하는 과정에서 보안 열쇠를 찾는 방식에 허점이 있어, 가짜 신분증을 진짜처럼 속일 수 있는 문제입니다. 공격자가 조작된 데이터를 보내면 시스템이 이를 정상적인 데이터로 착각하게 됩니다.
🇺🇸 원문 (English)
auth0/node-jws is a JSON Web Signature implementation for Node.js. In versions 3.2.2 and earlier and version 4.0.0, auth0/node-jws has an improper signature verification vulnerability when using the HS256 algorithm under specific conditions. Applications are affected when they use the jws.createVerify() function for HMAC algorithms and use user-provided data from the JSON Web Signature protected header or payload in HMAC secret lookup routines, which can allow attackers to bypass signature verification. This issue has been patched in versions 3.2.3 and 4.0.1.
📍 영향받는 시스템
auth0/node-jws 3.2.2 이하 버전 및 4.0.0 버전
⚔️ 공격 벡터
JWS 헤더 또는 페이로드에 조작된 데이터를 삽입하여 HMAC 비밀 키 조회 로직을 악용함으로써 서명 검증을 우회함
🛡️ 대응 방법
node-jws 라이브러리를 3.2.3 또는 4.0.1 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 node-jws의 버전을 확인하여 3.2.3 미만 또는 4.0.0 버전인지 체크합니다.