🇰🇷 한글 설명
Authlib 1.3.1부터 1.9.0 버전 사이에서 OctKey.import_key() 함수가 비대칭 키 마커를 첫 번째 바이트에서만 확인하는 취약점이 발견되었습니다. 공격자는 공백이나 주석이 포함된 공개 키를 HMAC 비밀키로 악용하여 임의의 권한을 가진 HS256 토큰을 위조할 수 있습니다. 이는 이전 취약점(CVE-2024-37568)에 대한 수정 사항을 우회하는 보안 결함입니다.
💡 쉬운 설명
공격자가 공개된 키 정보를 가짜 비밀번호처럼 속여서 사용할 수 있는 보안 구멍이 발견되었습니다. 이를 통해 공격자는 관리자 권한을 가진 가짜 인증서를 만들어 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
Authlib is a Python library which builds OAuth and OpenID Connect servers. From 1.3.1 until 1.9.0, OctKey.import_key() checks asymmetric-key markers only at byte zero while Authlib's PEM loaders accept leading whitespace, comments, or a byte-order mark. In deployments that use the documented mixed algorithm registry and already configure verification with PEM or certificate bytes containing such a prefix, an unauthenticated attacker who knows those same public-key bytes can use them as an HMAC secret and forge HS256 tokens with arbitrary identity or authorization claims. This is a bypass of the remediation for CVE-2024-37568. The module-level jwt object reaches OctKey.import_key() in authlib/jose/rfc7518/oct_key.py, where POSSIBLE_UNSAFE_KEYS fails to identify prefixed asymmetric key material. This issue is fixed in version 1.9.0.
📍 영향받는 시스템
Authlib 1.3.1 ~ 1.9.0
⚔️ 공격 벡터
공개 키 앞에 공백이나 주석을 추가하여 비대칭 키를 HMAC 비밀키로 오인하게 만든 후 HS256 토큰 위조
🛡️ 대응 방법
Authlib 라이브러리를 최신 버전인 1.9.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.9.0 미만(예: 1.8.0)이면 취약한 상태입니다.
pip show authlib | grep Version