PT-2022-17594 · Jsrsasign · Jsrsasign
Adi Malyanker
+1
·
Publicado
2022-06-25
·
Atualizado
2022-07-13
·
CVE-2022-25898
CVSS v3.1
8.6
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do jsrsasign anteriores à 10.5.25
Descrição
O problema diz respeito à verificação inadequada de assinaturas criptográficas. Especificamente, assinaturas JWS ou JWT que contenham caracteres especiais não codificados em Base64URL ou caracteres numéricos escapados podem ser validados erroneamente como válidos. Isso pode afetar a autenticação ou autorização quando a validação JWS ou JWT do jsrsasign é usada no OpenID Connect ou OAuth2.
Recomendações
Para versões anteriores à 10.5.25, valide as assinaturas JWS ou JWT se elas contiverem Base64URL e caracteres seguros para ponto antes de executar o método
JWS.verify() ou JWS.verifyJWT(). Os usuários devem atualizar para a versão 10.5.25 para resolver o problema. Como solução alternativa temporária, considere validar a string de assinatura manualmente para garantir que ela contenha apenas caracteres Base64URL e dot safe antes de executar os métodos de verificação.Exploit
Correção
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jsrsasign