🇰🇷 한글 설명
Authlib Python 라이브러리 1.6.9 미만 버전에서 OpenID Connect(OIDC) ID 토큰 검증 시 발생하는 취약점입니다. 지원되지 않는 암호화 알고리즘을 사용할 경우 내부 해시 검증 로직이 검증을 통과시킨 것으로 잘못 판단하는 'fail-open' 동작을 보입니다. 이를 통해 공격자는 위조된 ID 토큰을 사용하여 무결성 보호 체계를 우회할 수 있습니다.
💡 쉬운 설명
인증 라이브러리가 모르는 암호화 방식을 만났을 때, 오류를 내는 대신 '문제가 없다'고 잘못 판단하는 결함이 있습니다. 공격자는 이 허점을 이용해 가짜 신분증(토큰)을 진짜처럼 속여 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to version 1.6.9, a library-level vulnerability was identified in the Authlib Python library concerning the validation of OpenID Connect (OIDC) ID Tokens. Specifically, the internal hash verification logic (_verify_hash) responsible for validating the at_hash (Access Token Hash) and c_hash (Authorization Code Hash) claims exhibits a fail-open behavior when encountering an unsupported or unknown cryptographic algorithm. This flaw allows an attacker to bypass mandatory integrity protections by supplying a forged ID Token with a deliberately unrecognized alg header parameter. The library intercepts the unsupported state and silently returns True (validation passed), inherently violating fundamental cryptographic design principles and direct OIDC specifications. This issue has been patched in version 1.6.9.
📍 영향받는 시스템
Authlib Python library versions prior to 1.6.9
⚔️ 공격 벡터
지원되지 않는 alg 헤더 파라미터를 포함한 위조된 OIDC ID 토큰을 전송하여 검증 로직 우회
🛡️ 대응 방법
Authlib 라이브러리를 최신 버전인 1.6.9 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.6.9보다 낮으면 취약한 상태이며, 1.6.9 이상이면 안전합니다.
pip show authlib | grep Version