CVE-2023-48223

概要

fast-jwtは、高速なJSON Web Token（JWT）実装を提供します。バージョン3.3.2より前では、fast-jwtライブラリはすべての公開鍵タイプに対してJWTアルゴリズム混同を適切に防止していません。'fast-jwt/src/crypto.js'内の'publicKeyPemMatcher'は、公開鍵の一般的なPEM形式をすべて正しくマッチングしません。この脆弱性を悪用するには、攻撃者はHS256アルゴリズムを含み、被害アプリケーションの公開RSA鍵で署名された悪意のあるJWTトークンを細工する必要があります。この攻撃は、被害アプリケーションが`BEGIN RSA PUBLIC KEY`ヘッダーを含む公開鍵を利用している場合にのみ機能します。RS256アルゴリズム、`BEGIN RSA PUBLIC KEY`ヘッダーを持つ公開鍵を使用し、アルゴリズムを明示的に指定せずにverify関数を呼び出すアプリケーションは、このアルゴリズム混同攻撃に対して脆弱であり、攻撃者が任意のペイロードに署名し、検証者に受け入れられる可能性があります。バージョン3.3.2には、この問題に対するパッチが含まれています。回避策として、`blob/master/src/crypto.js`の29行目を変更して正規表現を含めてください。

• CVE-2023-48223PoC

  Proof-of-conceptで、fast-jwtライブラリにおけるJWTアルゴリズム混乱を実証します。脆弱なサーバー、トークン偽造スクリプト、およびセキュリティ教育用の検証修正が含まれています。