Scalaの「JWT」に署名の検証処理を回避できる脆弱性

Scalaにおける「JSON Web Token（JWT）」の実装において、署名の検証処理が回避される脆弱性が判明した。

「jwt-scala」において、ヘッダの処理に問題があり、トークンにおける署名を検証せず、署名がないトークンを署名済みのトークンとして処理する脆弱性「CVE-2017-10862」が含まれるという。

同脆弱性は、リクルートテクノロジーズの杉山俊春氏がJPCERTコーディネーションセンターへ報告。同センターが調整を実施し、「Github」のリポジトリでは修正されたという。

（Security NEXT - 2017/09/25 ） ツイート

PR

関連記事

PWリセット製品「ADSelfService Plus」に認証回避の脆弱性
SAP、セキュリティアドバイザリ17件を公開 - 4件が「クリティカル」
金融向けカード発行システム「Entrust IFI」に深刻な脆弱性
Adobe、11製品にセキュリティ更新 - 「クリティカル」脆弱性など修正
NVIDIAのGPU開発支援ツール「NVIDIA NSIGHT Graphics」に脆弱性
Palo Alto「PAN-OS」のリモートアクセス機能にDoS脆弱性
Fortinet製IP電話「FortiFone」に深刻な脆弱性 - アップデートが公開
「Node.js」アップデート公開、当初予定を上回る脆弱性8件に対応
「Firefox 147」を公開、脆弱性16件を修正 - 「クリティカル」も
米当局、悪用が確認されたWindows「DWM」の脆弱性に注意喚起