🇰🇷 한글 설명
PyJWT 2.14.0 미만 버전의 PyJWKClient에서 리다이렉트 대상이 JWKS 신뢰 경계와 일치하는지 재검증하지 않는 취약점이 발견되었습니다. 공격자가 제어하는 리다이렉트 응답을 따라가게 되면 자격 증명이 노출되거나 검증 키가 교체될 수 있습니다.
💡 쉬운 설명
인증 키를 가져오는 과정에서 공격자가 만든 가짜 주소로 연결될 수 있는 보안 허점이 있습니다. 이로 인해 중요한 정보가 유출되거나 가짜 키로 인증을 통과할 위험이 있습니다.
🇺🇸 원문 (English)
PyJWT is a Python implementation of JSON Web Token standards. Prior to 2.14.0, PyJWT PyJWKClient is affected because redirect destinations are not revalidated against the JWKS trust boundary. This occurs when a configured trusted JWKS endpoint returns an attacker-influenced redirect. As a result, PyJWKClient follows the redirect and consumes the redirected response as key material. Consequently, forwarded credentials may be disclosed or verification keys may be substituted. This issue is fixed in version 2.14.0.
📍 영향받는 시스템
PyJWT 2.14.0 미만 버전
⚔️ 공격 벡터
신뢰된 JWKS 엔드포인트가 공격자가 조작한 리다이렉트 주소를 반환하도록 유도하여 발생
🛡️ 대응 방법
PyJWT를 2.14.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2.14.0보다 낮은지 확인
pip show pyjwt | grep Version