Plataforma
nodejs
Componente
jsonwebtoken
Corrigido em
9.0.0
A vulnerabilidade CVE-2022-23539 permite que versões vulneráveis da biblioteca jsonwebtoken sejam configuradas incorretamente, usando tipos de chaves legados e inseguros para verificação de assinatura. Isso pode levar a falhas na verificação da autenticidade dos tokens. Afeta versões menores ou iguais a 8.5.1. A correção está disponível na versão 9.0.0.
A vulnerabilidade CVE-2022-23539 na biblioteca jsonwebtoken permite a verificação de assinaturas com tipos de chave legados e inseguros se a configuração estiver incorreta. Isso significa que, por exemplo, chaves DSA podem ser usadas com o algoritmo RS256, comprometendo a integridade e a autenticidade dos tokens JWT. As versões afetadas são aquelas menores ou iguais a 8.5.1. O CVSS foi classificado com uma pontuação de 8.1, indicando um risco alto. Esta vulnerabilidade é particularmente preocupante para aplicações que dependem de JWT para autenticação e autorização, pois um atacante pode potencialmente falsificar tokens e obter acesso não autorizado a recursos protegidos. A combinação de chave EC com algoritmos ES256, ES384 e ES512 não está afetada.
Um atacante pode explorar esta vulnerabilidade configurando incorretamente a biblioteca jsonwebtoken para permitir o uso de tipos de chave DSA com o algoritmo RS256. Isso permitiria ao atacante criar tokens JWT falsificados com chaves DSA, que seriam aceitos como válidos pela aplicação se estiver usando a versão vulnerável da biblioteca. O sucesso da exploração depende da configuração incorreta da biblioteca e da capacidade do atacante de gerar chaves DSA. A exploração pode resultar em acesso não autorizado a recursos protegidos, roubo de dados confidenciais ou até mesmo na tomada do controle da aplicação.
Status do Exploit
EPSS
0.07% (percentil 22%)
Vetor CVSS
A solução para mitigar esta vulnerabilidade é atualizar a biblioteca jsonwebtoken para a versão 9.0.0 ou superior. Esta versão corrige o problema, restringindo o uso de tipos de chave inseguros com algoritmos específicos. Além disso, revise a configuração da sua aplicação para garantir que apenas algoritmos e tipos de chave seguros e compatíveis sejam utilizados. Considere implementar validações adicionais no seu código para garantir que os tokens JWT recebidos sejam válidos e não tenham sido adulterados. Realize testes exaustivos após a atualização para confirmar que a vulnerabilidade foi resolvida e que a funcionalidade da aplicação não foi afetada. Monitore regularmente as dependências do seu projeto para detectar novas vulnerabilidades e aplicar as atualizações de segurança necessárias.
Actualice la biblioteca jsonwebtoken a la versión 9.0.0 o superior para validar las combinaciones de tipo de clave asimétrica y algoritmo. Si necesita usar combinaciones inválidas, configure la opción `allowInvalidAsymmetricKeyTypes` en `true` en las funciones `sign()` y/o `verify()`.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Um token JWT (JSON Web Token) é um padrão aberto para transmitir informações de forma segura como um objeto JSON. É comumente usado para autenticação e autorização.
A atualização corrige uma vulnerabilidade de segurança que poderia permitir que atacantes falsificassem tokens JWT e obtivessem acesso não autorizado.
Se não puder atualizar imediatamente, revise a configuração da sua aplicação e certifique-se de que apenas algoritmos e tipos de chave seguros sejam usados.
Verifique a versão da biblioteca jsonwebtoken em seu projeto. Se for menor ou igual a 8.5.1, você está vulnerável.
Existem ferramentas de análise de segurança de dependências que podem detectar esta vulnerabilidade em seus projetos.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.