jsonwebtoken — это библиотека JWT в Rust. До версии 10.3.0 в jsonwebtoken существовала уязвимость типа путаницы, в частности, в его логике проверки утверждений. Если стандартное утверждение (например, nbf или exp) имеет неправильный тип JSON (например, строку вместо числа), внутренний механизм синтаксического анализа библиотеки помечает утверждение как «FailedToParse».
Важно отметить, что логика проверки обрабатывает это состояние «FailedToParse» идентично состоянию «NotPresent». Это означает, что если проверка включена (например: validate_nbf = true), но утверждение явно не помечено как требуемое в require_spec_claims, библиотека полностью пропустит проверку проверки для неправильного утверждения, рассматривая его так, как если бы его там не было. Это позволяет злоумышленникам обходить критические временные ограничения безопасности (например, проверки «Не раньше») и совершать потенциальные обходы аутентификации и авторизации.
Эта проблема исправлена в версии 10.3.0.
Показать оригинальное описание (EN)
jsonwebtoken is a JWT lib in rust. Prior to version 10.3.0, there is a Type Confusion vulnerability in jsonwebtoken, specifically, in its claim validation logic. When a standard claim (such as nbf or exp) is provided with an incorrect JSON type (Like a String instead of a Number), the library’s internal parsing mechanism marks the claim as “FailedToParse”. Crucially, the validation logic treats this “FailedToParse” state identically to “NotPresent”. This means that if a check is enabled (like: validate_nbf = true), but the claim is not explicitly marked as required in required_spec_claims, the library will skip the validation check entirely for the malformed claim, treating it as if it were not there. This allows attackers to bypass critical time-based security restrictions (like “Not Before” checks) and commit potential authentication and authorization bypasses. This issue has been patched in version 10.3.0.
Характеристики атаки
Последствия
Строка CVSS v4.0