ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تحتوي python-jose حتى الإصدار 3.5.0 على ثغرة تجاوز مصادقة تسمح للمهاجمين دون مصادقة بتزوير رموز JWT لأن دالتي HMACKey و CryptographyHMACKey تقبلان أسرار HMAC بطول صفري. عندما يتم حل مفتاح التحقق HS256/HS384/HS512 الخاص بالتطبيق إلى فارغ، مثل مفتاح oct JWK مع معلمة k فارغة، يمكن للمهاجمين تزوير رموز بمطالبات عشوائية تقبلها دالة jwt.decode.
المعالجة
المراجع
- تحذيرhttps://www.vulncheck.com/advisories/python-jose-through-3.5.0-authentication-bypass-via-empty-hmac-key
- مرجعhttps://github.com/mpdavis/python-jose/blob/3.5.0/jose/backends/cryptography_backend.py
- مرجعhttps://github.com/mpdavis/python-jose/blob/3.5.0/jose/backends/native.py
- مرجعhttps://github.com/mpdavis/python-jose/issues/398