🇰🇷 한글 설명
joserfc 라이브러리 1.6.8 미만 버전에서 joserfc.jwt.decode 함수가 빈 문자열이나 None을 검증 키로 사용할 경우 공격자가 위조한 HMAC 서명 토큰을 허용하는 취약점이 존재합니다. 이는 OctKey.import_key가 길이가 0인 키를 거부하지 않고 보안 경고만 발생시키기 때문에 발생하며, 1.6.8 버전에서 수정되었습니다.
💡 쉬운 설명
인증을 위한 비밀 열쇠가 비어있을 때, 공격자가 가짜 신분증을 만들어도 시스템이 이를 진짜로 믿어버리는 문제입니다. 이로 인해 공격자가 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption (JOSE) standards. Prior to 1.6.8, joserfc.jwt.decode accepts attacker-forged HMAC-signed tokens when the caller-supplied verification key is the empty string or None, because HMACAlgorithm.sign and HMACAlgorithm.verify in src/joserfc/_rfc7518/jws_algs.py pass the output of OctKey.get_op_key(...) to hmac.new(...) and OctKey.import_key in src/joserfc/_rfc7518/oct_key.py only emits a SecurityWarning for keys shorter than 14 bytes without rejecting zero-length input. This issue is fixed in version 1.6.8.
📍 영향받는 시스템
joserfc library versions prior to 1.6.8
⚔️ 공격 벡터
공격자가 빈 키를 사용하여 위조된 HMAC 서명 JWT 토큰을 전송하여 인증을 우회함
🛡️ 대응 방법
joserfc 라이브러리를 1.6.8 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.6.8보다 낮으면 취약한 상태입니다.
pip show joserfc | grep Version