🇰🇷 한글 설명
Authlib은 OAuth 및 OpenID Connect 서버를 구축하는 Python 라이브러리입니다. 버전 1.6.5부터 1.6.7 미만 사이에서, 'alg: none'과 빈 서명을 포함한 악성 JWT를 전달할 경우 서명 검증 단계를 통과하는 취약점이 발견되었습니다. 이 문제는 버전 1.6.7에서 패치되었습니다.
💡 쉬운 설명
로그인 인증에 사용되는 암호화 토큰의 검증 과정에 허점이 있어, 공격자가 가짜 신분증을 만들어도 시스템이 이를 진짜로 믿어버릴 수 있는 문제입니다. 이를 통해 공격자가 타인의 계정으로 로그인하거나 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
Authlib is a Python library which builds OAuth and OpenID Connect servers. From version 1.6.5 to before version 1.6.7, previous tests involving passing a malicious JWT containing alg: none and an empty signature was passing the signature verification step without any changes to the application code when a failure was expected.. This issue has been patched in version 1.6.7.
📍 영향받는 시스템
Authlib Python library (versions 1.6.5 to < 1.6.7)
⚔️ 공격 벡터
알고리즘을 'none'으로 설정하고 서명이 없는 조작된 JWT 토큰을 전송하여 인증 우회
🛡️ 대응 방법
Authlib 라이브러리를 버전 1.6.7 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.6.7 미만(예: 1.6.5, 1.6.6)이면 취약한 상태입니다.
pip show authlib | grep Version