🇰🇷 한글 설명
jwcrypto 라이브러리에서 발견된 결함으로, 공격자가 다수의 마침표 구분자가 포함된 특수하게 제작된 JWE 토큰을 전송할 수 있습니다. 이 잘못된 토큰은 JWE.deserialize() 함수가 과도한 메모리를 할당하도록 강제하여 MemoryError를 유발하며, 결과적으로 서비스 거부(DoS) 상태를 초래할 수 있습니다.
💡 쉬운 설명
특수하게 조작된 암호화 토큰을 보내 서버의 메모리를 순식간에 가득 채우는 공격입니다. 이로 인해 서버가 정상적인 작동을 멈추고 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in jwcrypto. A remote attacker can send a specially crafted JSON Web Encryption (JWE) token containing numerous period delimiters. This malformed token can force the JWE.deserialize() function to allocate excessive memory, leading to a MemoryError. This issue results in a denial of service (DoS) for services that process untrusted JWE values.
📍 영향받는 시스템
jwcrypto 라이브러리를 사용하는 모든 시스템
⚔️ 공격 벡터
조작된 JWE 토큰을 전송하여 서버의 메모리 자원을 고갈시키는 방식
🛡️ 대응 방법
jwcrypto 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 jwcrypto의 버전을 확인하여 보안 패치가 적용된 최신 버전인지 대조하십시오.
pip show jwcrypto | grep Version