CVE-2018-0114

script python2.7 pour la génération de JWT

CVE-2018-0114

Une vulnérabilité dans la bibliothèque open source Cisco node-jose avant la version 0.11.0 pourrait permettre à un attaquant distant non authentifié de signer à nouveau des jetons en utilisant une clé intégrée dans le jeton. La vulnérabilité est due au fait que node-jose suit la norme JSON Web Signature (JWS) pour les JSON Web Tokens (JWTs). Cette norme spécifie qu'une JSON Web Key (JWK) représentant une clé publique peut être intégrée dans l'en-tête d'un JWS. Cette clé publique est alors considérée comme fiable pour la vérification.

Un attaquant peut exploiter cette vulnérabilité en forgeant des objets JWS valides en supprimant la signature d'origine, en ajoutant une nouvelle clé publique à l'en-tête, puis en signant l'objet à l'aide de la clé privée (appartenant à l'attaquant) associée à la clé publique intégrée dans cet en-tête JWS.