Authlib — это библиотека Python, которая создает серверы OAuth и OpenID Connect. До версии 1.6.9 в библиотеке Authlib Python была обнаружена уязвимость оракула криптографического заполнения, связанная с реализацией алгоритма управления ключами JSON Web Encryption (JWE) RSA1_5. Authlib регистрирует RSA1_5 в своем реестре алгоритмов по умолчанию, не требуя явного согласия, и активно уничтожает защиту Блейхенбахера с постоянным временем, которую правильно реализует базовая библиотека шифрования.
Эта проблема исправлена в версии 1.6.9.
Показать оригинальное описание (EN)
Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to version 1.6.9, a cryptographic padding oracle vulnerability was identified in the Authlib Python library concerning the implementation of the JSON Web Encryption (JWE) RSA1_5 key management algorithm. Authlib registers RSA1_5 in its default algorithm registry without requiring explicit opt-in, and actively destroys the constant-time Bleichenbacher mitigation that the underlying cryptography library implements correctly. This issue has been patched in version 1.6.9.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Authlib Authlib
cpe:2.3:a:authlib:authlib:*:*:*:*:*:*:*:*
|
— |
1.6.9
|