🇰🇷 한글 설명
PyJWT 2.9.0부터 2.14.0 버전 사이에서 PyJWKSet가 잘못된 형식의 RSA JWK 구성 요소를 제대로 처리하지 못하는 취약점이 발견되었습니다. JWK 세트 내에 하나라도 형식이 잘못된 RSA 키가 포함되어 있으면 전체 PyJWKSet 생성이 중단됩니다. 이로 인해 애플리케이션의 인증 실패나 서비스 거부(DoS) 현상이 발생할 수 있습니다.
💡 쉬운 설명
인증에 사용되는 키 목록 중에 형식이 잘못된 키가 하나라도 섞여 있으면, 시스템이 전체 키 목록을 읽지 못하고 멈춰버리는 문제입니다. 이로 인해 정상적인 사용자도 로그인을 못 하거나 서비스가 마비될 수 있습니다.
🇺🇸 원문 (English)
PyJWT is a Python implementation of JSON Web Token standards. From 2.9.0 until 2.14.0, PyJWKSet does not catch the plain ValueError raised for malformed RSA JWK components by RSAAlgorithm.from_jwk in jwt/api_jwk.py. This occurs when a JWK Set contains a malformed RSA key alongside otherwise usable keys. As a result, one malformed member aborts construction of the entire PyJWKSet. Consequently, applications can experience authentication failures or request-level denial of service. This issue is fixed in version 2.14.0.
📍 영향받는 시스템
PyJWT versions 2.9.0 to 2.14.0
⚔️ 공격 벡터
공격자가 악의적으로 조작된(malformed) RSA 키가 포함된 JWK Set을 제공하여 인증 프로세스를 중단시킴
🛡️ 대응 방법
PyJWT를 2.14.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.9.0 미만이거나 2.14.0 이상인지 확인하십시오.
pip show PyJWT | grep Version