🇰🇷 한글 설명
Perry 0.5.1166 미만 버전에서 JWT 검증 시 만료 시간(exp)을 확인하지 않는 취약점이 발견되었습니다. 공격자는 이전에 발급받은 만료된 토큰을 사용하여 인증을 우회하고 무기한으로 시스템에 접근할 수 있습니다.
💡 쉬운 설명
로그인 유효 기간이 지난 토큰을 사용해도 시스템이 이를 정상적인 것으로 착각하여 통과시켜주는 보안 결함입니다. 이로 인해 한 번 탈취된 토큰은 로그아웃을 해도 계속 사용할 수 있어 위험합니다.
🇺🇸 원문 (English)
Perry before 0.5.1166 contains a JWT validation vulnerability that allows remote attackers to bypass token expiration by exploiting the unconditional setting of validate_exp = false in the verify_decode helper within the stdlib JWT verification path. Attackers in possession of a previously issued bearer token can present expired tokens to any jwt.verify() call and retain authenticated access indefinitely, bypassing force-expired sessions such as user logout or administrative revocation.
📍 영향받는 시스템
Perry version < 0.5.1166
⚔️ 공격 벡터
만료된 JWT 토큰을 사용하여 인증 과정을 우회하는 원격 공격
🛡️ 대응 방법
Perry 버전을 0.5.1166 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.5.1166보다 낮으면 취약한 상태입니다.
pip show perry | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access