🇰🇷 한글 설명
ruby-jwt 라이브러리에서 빈 키를 사용할 때 HMAC 서명 검증이 통과되는 취약점이 발견되었습니다. 공격자가 조작된 토큰을 전송하더라도 빈 키를 통해 유효한 서명으로 오인될 수 있어 인증 우회가 가능합니다.
💡 쉬운 설명
로그인 확인용 암호 키가 비어있을 때, 가짜 신분증을 진짜로 착각하게 만드는 보안 구멍이 발견되었습니다. 이를 통해 해커가 권한이 없는 상태에서도 시스템에 접속할 수 있습니다.
🇺🇸 원문 (English)
ruby-jwt is a Ruby implementation of the RFC 7519 OAuth JSON Web Token standard. Prior to 2.10.3 and 3.2.0, JWT.decode(token, '', true, algorithm: 'HS256') accepts an attacker-forged token because OpenSSL::HMAC.digest('SHA256', '', payload) returns a valid digest under an empty key and no empty-key precondition exists in the HMAC algorithm. The same path is reached when a keyfinder block or key_finder: argument returns an empty string, nil, or an array containing nil for an unknown key, affecting HS256, HS384, and HS512 verification through JWT.decode and JWT::EncodedToken#verify_signature!. This issue is fixed in versions 2.10.3 and 3.2.0.
📍 영향받는 시스템
ruby-jwt versions prior to 2.10.3 and 3.2.0
⚔️ 공격 벡터
공격자가 빈 키를 사용하여 서명된 조작된 JWT 토큰을 전송하여 인증을 우회함
🛡️ 대응 방법
ruby-jwt 라이브러리를 2.10.3 또는 3.2.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 ruby-jwt의 버전이 2.10.3 또는 3.2.0 미만인지 확인하십시오.