PT-2024-25302 · Unknown · Lua-Resty-Jwt

Nils Emmerich · Publicado 2024-04-24 · Atualizado 2026-03-02 · CVE-2024-33531

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

lua-resty-jwt versão 0.2.3

Descrição

A vulnerabilidade permite que invasores contornem todas as verificações de assinatura na análise de JWT criando um JWT com um cabeçalho enc com o valor A256GCM. Isso lhes permite, potencialmente, acessar recursos não autorizados ou realizar ações maliciosas.

Recomendações

Para a versão 0.2.3 do lua-resty-jwt, como solução temporária, considere restringir o uso do cabeçalho enc ou validar seu valor para impedir que seja definido como A256GCM até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Correção

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-290

Identificadores relacionados

CVE-2024-33531

Produtos afetados

Lua-Resty-Jwt

Referências · 8

• https://github.com/cdbattags/lua-resty-jwt/commit/d1558e2afefe868fea1e7e9a4b04ea94ab678a85 · Nota
• https://github.com/cdbattags/lua-resty-jwt/issues/61 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-33531 · Nota de Segurança
• https://t.me/cvenotify/77858 · Publicação no Telegram
• https://insinuator.net/2023/10/lua-resty-jwt-authentication-bypass · Nota
• https://osv.dev/vulnerability/CVE-2024-33531 · Aviso do Fabricante
• https://twitter.com/cdbattags/status/2028301298609918186 · Publicação no Twitter
• https://twitter.com/cdbattags/status/2028298227519283648 · Publicação no Twitter