🇰🇷 한글 설명
PyJWT 2.13.0 이전 버전에서 JSON Web Token 검증 시 HMAC 알고리즘 사용 시 발급자의 공개키를 비밀키로 사용할 수 있는 검증 우회 취약점입니다. 공격자는 공개된 발급자 정보를 이용해 유효한 토큰을 위조할 수 있습니다.
💡 쉬운 설명
JWT 라이브러리가 비밀번호 확인 방식을 잘못 설정해서, 공개된 정보로도 가짜 토큰을 만들 수 있는 문제입니다. 은행의 신분증 검증 과정에서 공개된 사진으로도 신분증이 진짜라고 인정되는 것과 같습니다.
🇺🇸 원문 (English)
PyJWT is a JSON Web Token implementation in Python. Prior to 2.13.0, when the verifier is decoding JSON Web Tokens, while supporting both asymmetric and HMAC algorithms, the library does not validate use of JSON Web Keys in HMAC algorithm, allowing attacker to use the issuer public key as the secret key for HMAC algorithm. This vulnerability is fixed in 2.13.0.
📍 영향받는 시스템
PyJWT < 2.13.0
⚔️ 공격 벡터
HMAC 알고리즘 사용 시 발급자 공개키를 비밀키로 대체하여 서명된 JWT 토큰 위조
🛡️ 대응 방법
PyJWT를 2.13.0 이상으로 업그레이드하고 비대칭 암호화 알고리즘(RS256, ES256 등) 사용 권장
🔧 검증 코드
Version 필드가 2.13.0 이상이면 안전, 미만이면 업그레이드 필요
pip show PyJWT | grep Version