Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

JWTのJavaScript実装「jsonwebtoken」に複数脆弱性

JSONウェブトークン(JWT)の「node.js」向け実装である「jsonwebtoken」に複数の脆弱性が明らかとなった。アップデートで修正されている。

「同8.5.1」および以前のバージョンにあわせて4件の脆弱性が明らかとなったもの。「CVE-2022-23529」は、特定の条件下においてホストに任意のファイルを書き込むことが可能となる脆弱性。悪用されると任意のコードを実行されるおそれがある。

さらにデフォルトのアルゴリズムが未指定であり、署名検証をバイパスされるおそれがある「CVE-2022-23540」や、設定の誤りによりトークンの検証が正しく行われない「CVE-2022-23541」が判明した。

くわえてレガシーで安全でないキータイプが署名検証に使用される「CVE-2022-23539」が明らかとなっている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、採番機関であるGitHubと米国立標準技術研究所(NIST)の脆弱性データベース「NVD」において差が生じている。また一部については、影響度の評価や「脆弱性」との判断に疑問の声も出ている。

(Security NEXT - 2023/01/13 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

契約者情報の不正持ち出し、約2.9万件と判明 - JSB
メタバース活用におけるセキュリティを考えるオンラインイベント - JSSECら
「ESXiArgs」対策で製品の更新やOpenSLPの無効化を呼びかけ - VMware
メール誤送信でキャンペーン参加事業者のメアド流出 - 三重県
し尿収集業者が収集申込者の個人情報を紛失 - 広島市
2月3日ごろより「VMware ESXi」のランサム被害急増- 国内でも発生か
市立保育所で児童の個人情報含むUSBメモリが所在不明 - 赤穂市
「ビックカメラ」を装うフィッシング攻撃に注意を
QNAP製品のファームウェアに深刻な脆弱性 - 対象は限定的
「Cisco ISE」の脆弱性、順次パッチ提供 - リリース後は悪用コードが利用可能に