
script python2.7 para geração de JWT
script python2.7 para geração de JWT
CVE-2018-0114
Uma vulnerabilidade na biblioteca open source Cisco node-jose anterior à versão 0.11.0 poderia permitir que um atacante remoto não autenticado reassinasse tokens usando uma chave incorporada no token. A vulnerabilidade se deve ao node-jose seguir o padrão JSON Web Signature (JWS) para JSON Web Tokens (JWTs). Esse padrão especifica que uma JSON Web Key (JWK) representando uma chave pública pode ser incorporada no cabeçalho de um JWS. Essa chave pública é então confiável para verificação.
Um atacante pode explorar isso forjando objetos JWS válidos, removendo a assinatura original, adicionando uma nova chave pública ao cabeçalho e, em seguida, assinando o objeto usando a chave privada (de propriedade do atacante) associada à chave pública incorporada nesse cabeçalho JWS.