CVE-2025-30144

概要

fast-jwtは、高速なJSON Web Token（JWT）実装を提供します。5.0.6より前のバージョンでは、fast-jwtライブラリはRFC 7519に基づくissクレームを適切に検証していません。fast-jwtライブラリ内のiss（発行者）クレーム検証は、文字列の配列を有効なiss値として許可します。この設計上の欠陥により、悪意のある攻撃者が['https://attacker-domain/', 'https://valid-iss']として構成されたissクレームを持つJWTを作成するという潜在的な攻撃が可能になります。この寛容な検証により、JWTは有効とみなされます。さらに、アプリケーションがissクレームを独立して検証しないget-jwksなどの外部ライブラリに依存している場合、攻撃者はこの脆弱性を悪用して、被害者のアプリケーションに受け入れられるJWTを偽造できます。基本的に、攻撃者は正当な発行者とともに自らのドメインをiss配列に挿入し、意図されたセキュリティチェックを回避できます。この問題は5.0.6で修正されています。

• CVE-2025-30144PoC

  CVE-2025-30144の概念実証：fast-jwtライブラリのJWT発行者検証バイパスにより、攻撃者が配列ベースのissクレームを持つトークンを偽造できるようにします。