🇰🇷 한글 설명
python-jose 3.5.0 이하 버전에서 HMAC 초기화 시 비대칭 키 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 공격자가 서비스의 공개 키를 이용해 HS256 알고리즘을 사용하는 위조된 토큰을 생성할 수 있으며, 이는 CVE-2024-33663에 대한 불완전한 수정입니다.
💡 쉬운 설명
인증 토큰을 만드는 과정에서 보안 검사가 허술하여, 공격자가 가짜 신분증(토큰)을 만들어 시스템에 침입할 수 있는 문제입니다. 공개된 정보를 이용해 마치 정당한 사용자인 것처럼 속일 수 있습니다.
🇺🇸 원문 (English)
python-jose through 3.5.0 fails to properly validate asymmetric keys in HMAC initialization, accepting DER-encoded public keys that lack PEM armor or SSH prefixes. Attackers holding the service's public key can forge HS256 tokens that pass verification when algorithms are not explicitly restricted. This is an incomplete fix for CVE-2024-33663.
📍 영향받는 시스템
python-jose 3.5.0 및 그 이전 버전
⚔️ 공격 벡터
공격자가 서비스의 공개 키를 활용하여 검증을 통과하는 위조된 HS256 JWT 토큰을 생성 및 전송
🛡️ 대응 방법
python-jose를 최신 보안 패치가 적용된 버전으로 업데이트하고, JWT 검증 시 사용할 알고리즘을 명시적으로 제한해야 함
🔧 검증 코드
출력된 버전이 3.5.0 이하인지 확인하여 취약 여부를 판단합니다.
pip show python-jose | grep Version