lightrag-hku: JWT アルゴリズム混同脆弱性

LightRAG APIは、JWTアルゴリズム混同攻撃に対して脆弱です。攻撃者は、JWTヘッダーに'alg': 'none'を指定することでトークンを偽造できます。jwt.decode()呼び出しが'none'アルゴリズムを明示的に拒否しないため、署名のない作成されたトークンが有効として受け入れられ、不正アクセスにつながる可能性があります。この脆弱性はCVSS 4.2スコアで評価されており、中程度のリスクを示します。適切なアルゴリズム検証の欠如により、攻撃者は認証セキュリティを回避し、データ機密性と整合性を損なう可能性があります。

Organizations deploying LightRAG for API authentication, particularly those using versions 1.4.0 through 1.4.13, are at risk. Shared hosting environments where LightRAG is deployed alongside other applications are also at increased risk, as a compromise of one application could potentially lead to exploitation of this vulnerability.

• python / server:

# Check for vulnerable LightRAG versions
pip list | grep LightRAG

• python / server:

import subprocess
result = subprocess.run(['pip', 'list'], capture_output=True, text=True)
if 'LightRAG' in result.stdout and float(result.stdout.split('LightRAG ')[1].split(' ')[0]) < 1.4.14:
    print('Vulnerable LightRAG version detected!')

• generic web: Inspect API requests for JWT tokens. Look for tokens with the 'alg': 'none' parameter in the header. This is a strong indicator of potential exploitation attempts.

1. 2026-04-08Disclosure

   disclosure

1. 予約済み2026-04-07
2. 公開日2026-04-08
3. 更新日2026-04-22
4. EPSS 更新日2026-04-16

この脆弱性の解決策は、LightRAGをバージョン1.4.14以降にアップグレードすることです。このバージョンは、使用されているJWTアルゴリズムを明示的に検証することで問題を修正します。さらに、JWTトークンに署名するために使用されるキーの偶発的な露出を防ぐために、シークレットキー管理の実践をレビューおよび強化することをお勧めします。キーローテーションポリシーを実装することも、潜在的なキー漏洩の影響を軽減するのに役立ちます。潜在的な攻撃からシステムを保護するために、このアップデートをできるだけ早く適用することが重要です。