🇰🇷 한글 설명
PyJWT 2.13.0부터 2.14.0 버전 사이의 HMACAlgorithm.prepare_key 함수에서 HMAC 키 검증 로직의 결함이 발견되었습니다. 공개 JWK 컨테이너 형식을 제대로 인식하지 못해 비대칭 키의 공개 정보가 HMAC 비밀키로 오용될 수 있습니다. 이로 인해 공격자가 공개 키를 이용해 임의의 인증된 클레임을 포함한 토큰을 위조할 수 있습니다.
💡 쉬운 설명
암호화 키를 검사하는 과정에서 실수로 공개된 정보를 비밀번호처럼 사용하게 되는 보안 허점이 발견되었습니다. 이로 인해 해커가 가짜 신분증(토큰)을 만들어 시스템에 마음대로 접속할 수 있습니다.
🇺🇸 원문 (English)
PyJWT is a Python implementation of JSON Web Token standards. From 2.13.0 until 2.14.0, PyJWT HMACAlgorithm.prepare_key is affected because HMAC key guard only recognizes top-level public JWK forms and misses container representations. This occurs when an application allows HMAC and asymmetric algorithms and passes a public JWK container as the raw key. As a result, public asymmetric key material is accepted as the HMAC secret. Consequently, an attacker who knows the public key can forge a token with arbitrary authenticated claims. This issue is fixed in version 2.14.0.
📍 영향받는 시스템
PyJWT 2.13.0 ~ 2.14.0
⚔️ 공격 벡터
공개된 비대칭 키(JWK)를 HMAC 비밀키로 전달하여 토큰 서명을 위조하는 방식
🛡️ 대응 방법
PyJWT 버전을 2.14.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.13.0 미만이거나 2.14.0보다 큰지 확인하십시오.
pip show PyJWT | grep Version