PT-2024-27665 · Unknown+4 · Lepture Authlib+4

Emmharnuherl · Publicado 2024-06-09 · Atualizado 2026-06-03 · CVE-2024-37568

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do lepture Authlib anteriores à 1.3.1

Descrição

O problema diz respeito à confusão de algoritmos com chaves públicas assimétricas no lepture Authlib. A menos que um algoritmo seja especificado em uma chamada jwt.decode, a verificação HMAC é permitida com qualquer chave pública assimétrica.

Recomendações

Para versões anteriores à 1.3.1, atualize para a versão 1.3.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere especificar um algoritmo nas chamadas jwt.decode para impedir a verificação HMAC com chaves públicas assimétricas arbitrárias.

Exploit

Correção

Use of a Broken Cryptographic Algorithm

Improper Access Control

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-327

CWE-284

CWE-347

Identificadores relacionados

CVE-2024-37568

DLA-4352-1

GHSA-5357-C2JX-V7QH

MGASA-2024-0238

OPENSUSE-SU-2024:14035-1

OPENSUSE-SU-2024_2064-1

PYSEC-2024-52

SUSE-SU-2024:2064-1

USN-8065-1

Produtos afetados

Debian

Linuxmint

Suse

Ubuntu

Lepture Authlib

Referências · 41

• 🔥 https://github.com/lepture/authlib/issues/654 · Exploit
• https://github.com/lepture/authlib · Nota
• https://github.com/lepture/authlib/commit/3bea812acefebc9ee108aa24557be3ba8971daf1 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/authlib/PYSEC-2024-52.yaml · Nota
• https://suse.com/support/update/announcement/2024/suse-su-20242064-1 · Nota
• https://osv.dev/vulnerability/MGASA-2024-0238 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-8065-1 · Aviso do Fabricante
• https://t.me/cvenotify/82503 · Publicação no Telegram
• https://suse.com/security/cve/CVE-2024-37568 · Nota
• https://ubuntu.com/security/CVE-2025-62706 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-37568 · Nota de Segurança
• https://ubuntu.com/security/CVE-2025-68158 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/IZI7HYGN7VZAYFV6UV3SRLYF7QGERXIU · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-37568 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-37568 · Aviso do Fabricante