LibJWT — это библиотека веб-токенов C JSON. Начиная с версии 3.0.0 и до версии 3.3.0, анализ JWK для RSA-PSS не защищал от значения NULL при ожидании анализа строковых значений JSON. Специально созданный файл JWK может использовать это поведение, используя целые числа в тех местах, где код ожидает строку.
Это было исправлено в версии 3.3.0. Обходной путь доступен. Пользователи, импортирующие ключи через файл JWK, не должны делать это из ненадежных источников.
Используйте инструмент jwk2key, чтобы проверить достоверность файла JWK. Аналогично, если возможно, не используйте файлы JWK с ключами RSA-PSS.
Показать оригинальное описание (EN)
LibJWT is a C JSON Web Token Library. Starting in version 3.0.0 and prior to version 3.3.0, the JWK parsing for RSA-PSS did not protect against a NULL value when expecting to parse JSON string values. A specially crafted JWK file could exploit this behavior by using integers in places where the code expected a string. This was fixed in v3.3.0. A workaround is available. Users importing keys through a JWK file should not do so from untrusted sources. Use the `jwk2key` tool to check for validity of a JWK file. Likewise, if possible, do not use JWK files with RSA-PSS keys.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Libjwt Libjwt
cpe:2.3:a:libjwt:libjwt:*:*:*:*:*:*:*:*
|
3.0.0
|
3.3.0
|