PT-2022-24825 · Pypi · Python-Jwt

Tom Tervoort · Publicado 2022-09-01 · Atualizado 2024-07-10 · CVE-2022-39227

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do python-jwt anteriores à 3.3.4

Descrição

A vulnerabilidade permite que um invasor que obtenha um JSON Web Token (JWT) falsifique arbitrariamente seu conteúdo sem conhecer a chave secreta. Isso pode permitir que o invasor falsifique a identidade de outros usuários, sequestre suas sessões ou contorne a autenticação. A vulnerabilidade é causada por uma inconsistência entre os analisadores JWT usados pelo python-jwt e sua dependência jwcrypto.

Recomendações

Para versões do python-jwt anteriores à 3.3.4, atualize para a versão 3.3.4 para resolver o problema. Como solução alternativa temporária, considere restringir o uso da função verify jwt até que um patch esteja disponível. Evite usar o módulo python-jwt para autenticação até que o problema seja resolvido. Não há soluções alternativas conhecidas além da atualização para a versão corrigida.

Exploit

Correção

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-290

Identificadores relacionados

AZL-11032

CVE-2022-39227

GHSA-5P8V-58QM-C7FP

PYSEC-2022-259

Produtos afetados

Python-Jwt

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39227.json · Exploit
• 🔥 https://github.com/user0x1337/CVE-2022-39227 · Exploit
• https://github.com/pypa/advisory-database/blob/main/vulns/python-jwt/PYSEC-2022-259.yaml · Nota
• https://github.com/davedoesdev/python-jwt/commit/88ad9e67c53aa5f7c43ec4aa52ed34b7930068c9 · Correção
• https://github.com/davedoesdev/python-jwt/security/advisories/GHSA-5p8v-58qm-c7fp · Correção
• https://github.com/davedoesdev/python-jwt · Nota
• https://github.com/davedoesdev/python-jwt/commit/6c5075469847b9e8b6e5336077d989d77a4d2bf1 · Nota
• https://osv.dev/vulnerability/GHSA-5p8v-58qm-c7fp · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-39227 · Nota de Segurança
• https://twitter.com/PentesterLab/status/1762260894807965724 · Publicação no Twitter
• https://t.me/cibsecurity/50312 · Publicação no Telegram
• https://t.me/cvenotify/36743 · Publicação no Telegram
• https://twitter.com/chming1016/status/1811270742694044105 · Publicação no Twitter
• https://osv.dev/vulnerability/PYSEC-2022-259 · Aviso do Fabricante
• https://vicarius.io/vsociety/posts/authentication-bypass-in-python-jwt · Nota