Python-jose до версии 3.5.0 не может должным образом проверить асимметричные ключи при инициализации HMAC, принимая открытые ключи, закодированные в DER, в которых отсутствует броня PEM или префиксы SSH. Злоумышленники, владеющие открытым ключом службы, могут подделать токены HS256, которые проходят проверку, если алгоритмы явно не ограничены. Это неполное исправление CVE-2024-33663.
Показать оригинальное описание (EN)
python-jose through 3.5.0 fails to properly validate asymmetric keys in HMAC initialization, accepting DER-encoded public keys that lack PEM armor or SSH prefixes. Attackers holding the service's public key can forge HS256 tokens that pass verification when algorithms are not explicitly restricted. This is an incomplete fix for CVE-2024-33663.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Python-Jose_Project Python-Jose
cpe:2.3:a:python-jose_project:python-jose:*:*:*:*:*:*:*:*
|
— |
<= 3.5.0
|
Ссылки 6
https://github.com/advisories/GHSA-6c5p-j8vq-pqhj
disclosure@vulncheck.com
https://github.com/mpdavis/python-jose
disclosure@vulncheck.com
https://github.com/mpdavis/python-jose/blob/018b310ddb8b50dcfd09a0c152117835a21…
disclosure@vulncheck.com
https://github.com/mpdavis/python-jose/blob/018b310ddb8b50dcfd09a0c152117835a21…
disclosure@vulncheck.com
https://github.com/mpdavis/python-jose/issues/414
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/python-jose-through-3.5.0-algorithm-confus…
disclosure@vulncheck.com