CVE-2026-85394

KrytyczneCVSS 9.1

Opublikowano: 03/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Streszczenie

python-jose do wersji 3.5.0 nieprawidłowo waliduje klucze asymetryczne w inicjalizacji HMAC, akceptując klucze publiczne w formacie DER bez otoczki PEM lub prefiksów SSH. Atakujący posiadający klucz publiczny usługi może sfałszować tokeny HS256, które przejdą weryfikację, gdy algorytmy nie są jawnie ograniczone. Jest to niepełna poprawka dla CVE-2024-33663.

Ocena ryzyka

Atakujący może podszyć się pod dowolnego użytkownika lub uzyskać nieautoryzowany dostęp do zasobów chronionych tokenami JWT.

Rekomendacja

Zaktualizuj python-jose do wersji z pełną poprawką lub jawnie ogranicz algorytmy używane do weryfikacji tokenów.

Inne podatności w python-jose

CVE-2016-7036Krytyczne
Wersje python-jose przed 1.3.2 nie stosują porównania w stałym czasie dla kluczy HMAC, co może być wykorzystane przez atakujących w nieokreślony sposób.

Oryginalny opis (angielski, źródło NVD)

python-jose through 3.5.0 fails to properly validate asymmetric keys in HMAC initialization, accepting DER-encoded public keys that lack PEM armor or SSH prefixes. Attackers holding the service's public key can forge HS256 tokens that pass verification when algorithms are not explicitly restricted. This is an incomplete fix for CVE-2024-33663.