🇰🇷 한글 설명
SimpleJWT는 PHP로 작성된 JSON 웹 토큰 라이브러리입니다. 버전 1.1.1 이전에서 PBES2 알고리즘 사용 시 JWE 헤더 조작을 통해 인증되지 않은 공격자가 서비스 거부(DoS) 공격을 수행할 수 있습니다. 이 취약점은 버전 1.1.1에서 패치되었습니다.
💡 쉬운 설명
웹사이트에서 로그인 토큰을 처리할 때 공격자가 특수 조작된 토큰을 보내 서버를 다운시킬 수 있는 취약점입니다. 로그인 없이도 공격이 가능하므로 누구나 악용할 수 있습니다.
🇺🇸 원문 (English)
SimpleJWT is a simple JSON web token library written in PHP. Prior to version 1.1.1, an unauthenticated attacker can perform a Denial of Service via JWE header tampering when PBES2 algorithms are used. Applications that call JWE::decrypt() on attacker-controlled JWEs using PBES2 algorithms are affected. This issue has been patched in version 1.1.1.
📍 영향받는 시스템
SimpleJWT PHP 라이브러리 1.1.1 미만 버전 (PBES2 알고리즘 사용 시)
⚔️ 공격 벡터
인증 불필요, 조작된 JWE 헤더를 포함한 요청을 JWE::decrypt() 호출 엔드포인트에 전송하여 DoS 유발
🛡️ 대응 방법
SimpleJWT를 버전 1.1.1 이상으로 업그레이드: composer require kelvinmo/simplejwt:^1.1.1
🔧 검증 코드
출력된 버전이 1.1.1 이상이면 패치 적용 완료, 1.1.0 이하이거나 패키지가 없으면 업그레이드 필요
composer show kelvinmo/simplejwt 2>/dev/null | grep -E 'versions|version'