CVE-2025-30144

요약

fast-jwt는 빠른 JSON Web Token(JWT) 구현을 제공합니다. 5.0.6 이전 버전에서 fast-jwt 라이브러리는 RFC 7519에 기반한 iss 클레임을 제대로 검증하지 않습니다. fast-jwt 라이브러리 내의 iss(발급자) 클레임 검증은 문자열 배열을 유효한 iss 값으로 허용합니다. 이 설계 결함으로 인해 악의적인 공격자가 ['https://attacker-domain/', 'https://valid-iss'] 구조의 iss 클레임을 가진 JWT를 제작하는 잠재적 공격이 가능해집니다. 관대한 검증 방식 때문에 해당 JWT는 유효한 것으로 간주됩니다. 또한, 애플리케이션이 iss 클레임을 독립적으로 검증하지 않는 get-jwks와 같은 외부 라이브러리에 의존하는 경우, 공격자는 이 취약점을 악용하여 피해 애플리케이션이 수락하는 JWT를 위조할 수 있습니다. 본질적으로 공격자는 정당한 발급자와 함께 자신의 도메인을 iss 배열에 삽입하여 의도된 보안 검사를 우회할 수 있습니다. 이 문제는 5.0.6에서 수정되었습니다.

소스

• CVE-2025-30144PoC

  CVE-2025-30144에 대한 개념 증명: fast-jwt 라이브러리의 JWT 발급자 검증 우회로, 공격자가 배열 기반 iss 클레임으로 토큰을 위조할 수 있게 합니다.