jsonwebtoken अप्रतिबंधित कुंजी प्रकार, पुराने कुंजियों के उपयोग का कारण बन सकता है

jsonwebtoken लाइब्रेरी में CVE-2022-23539 भेद्यता अनुमति देती है कि गलत कॉन्फ़िगरेशन होने पर विरासत में मिले, असुरक्षित कुंजी प्रकारों का उपयोग करके हस्ताक्षर सत्यापित किए जा सकें। उदाहरण के लिए, DSA कुंजियों का उपयोग RS256 एल्गोरिथ्म के साथ किया जा सकता है, जिससे JWT टोकन की अखंडता और प्रामाणिकता से समझौता होता है। प्रभावित संस्करण 8.5.1 से कम या उसके बराबर हैं। CVSS को 8.1 का स्कोर दिया गया है, जो उच्च जोखिम दर्शाता है। प्रमाणीकरण और प्राधिकरण के लिए JWT पर निर्भर अनुप्रयोगों के लिए यह भेद्यता विशेष रूप से चिंताजनक है, क्योंकि एक हमलावर टोकन को जाली बना सकता है और संरक्षित संसाधनों तक अनधिकृत पहुंच प्राप्त कर सकता है। EC कुंजी के साथ ES256, ES384 और ES512 एल्गोरिदम का संयोजन प्रभावित नहीं होता है।

1. आरक्षित2022-01-19
2. प्रकाशित2022-12-22
3. संशोधित2025-04-15
4. EPSS अद्यतन2026-04-02

इस भेद्यता को कम करने का समाधान jsonwebtoken लाइब्रेरी को संस्करण 9.0.0 या उससे ऊपर में अपडेट करना है। यह संस्करण विशिष्ट एल्गोरिदम के साथ असुरक्षित कुंजी प्रकारों के उपयोग को प्रतिबंधित करके इस समस्या को ठीक करता है। इसके अतिरिक्त, अपने एप्लिकेशन कॉन्फ़िगरेशन की जांच करें ताकि यह सुनिश्चित हो सके कि केवल सुरक्षित और संगत एल्गोरिदम और कुंजी प्रकारों का उपयोग किया जा रहा है। प्राप्त JWT टोकन मान्य हैं और छेड़छाड़ नहीं की गई है यह सुनिश्चित करने के लिए अपने कोड में अतिरिक्त सत्यापन लागू करने पर विचार करें। अपडेट के बाद संपूर्ण परीक्षण करें ताकि यह पुष्टि हो सके कि भेद्यता को ठीक कर दिया गया है और एप्लिकेशन की कार्यक्षमता प्रभावित नहीं हुई है। नए भेद्यताओं का पता लगाने और आवश्यक सुरक्षा अपडेट लागू करने के लिए अपने प्रोजेक्ट की निर्भरताओं की नियमित रूप से निगरानी करें।

अंतिम अपडेट

9.0.35 महीने पहले