🇰🇷 한글 설명
Authlib 1.9.1 미만 버전의 OctKey.import_key() 및 HMAC 서명 검증 과정에서 길이가 0인 키를 허용하는 취약점이 발견되었습니다. 공격자가 애플리케이션의 비밀 키를 빈 문자열이나 빈 바이트로 유도할 수 있다면, 임의의 토큰에 대해 결정론적인 HS256, HS384, HS512 서명을 생성하여 인증을 우회할 수 있습니다.
💡 쉬운 설명
인증용 비밀번호가 비어있을 때 이를 정상적인 비밀번호로 착각하여 통과시켜주는 보안 결함입니다. 이를 통해 해커는 가짜 신분증을 진짜처럼 만들어 시스템에 몰래 들어올 수 있습니다.
🇺🇸 원문 (English)
Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to 1.9.1, Authlib's OctKey.import_key() and HMAC signing and verification path accept zero-length key material. If an application's secret lookup can return an empty string or empty bytes, a remote attacker can compute the deterministic HS256, HS384, or HS512 signature for arbitrary token claims and have Authlib treat the token as authentic. This issue is fixed in version 1.9.1.
📍 영향받는 시스템
Authlib library versions prior to 1.9.1
⚔️ 공격 벡터
비밀 키를 빈 값으로 반환하도록 유도한 뒤 조작된 JWT 토큰의 서명을 생성하여 인증 우회
🛡️ 대응 방법
Authlib 라이브러리를 1.9.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.9.1 미만이면 취약한 상태이며, 1.9.1 이상이면 안전합니다.
pip show authlib | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server