PT-2020-16317 · Github+1 · Jwt-Go+1
Publicado
2020-09-30
·
Atualizado
2025-08-22
·
CVE-2020-26160
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do jwt-go anteriores à 4.0.0-preview1
jwt-go anterior à versão 4.0.0-preview1
Descrição
A vulnerabilidade permite que invasores contornem as restrições de acesso previstas em situações em que a reivindicação de público-alvo (audience claim) em um token JWT é uma matriz de strings, em vez de uma única string. Isso ocorre porque a verificação de tipo falha quando
m[“aud”] é []string{}, resultando em uma string vazia como valor de aud. Isso representa um problema de segurança se o token JWT for apresentado a um serviço que não possua sua própria verificação de público-alvo.Recomendações
Para versões do jwt-go anteriores à 4.0.0-preview1, migre para o golang-jwt na versão 3.2.1.
Como solução alternativa temporária, considere implementar uma verificação de público-alvo nos serviços que verificam tokens JWT para impedir a contornamento das restrições de acesso pretendidas.
Correção
Improper Authentication
Improper Handling of Exceptional Conditions
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Red Os
Jwt-Go