JWTのJavaScript実装「jsonwebtoken」に複数脆弱性

JSONウェブトークン（JWT）の「node.js」向け実装である「jsonwebtoken」に複数の脆弱性が明らかとなった。アップデートで修正されている。

「同8.5.1」および以前のバージョンにあわせて4件の脆弱性が明らかとなったもの。「CVE-2022-23529」は、特定の条件下においてホストに任意のファイルを書き込むことが可能となる脆弱性。悪用されると任意のコードを実行されるおそれがある。

さらにデフォルトのアルゴリズムが未指定であり、署名検証をバイパスされるおそれがある「CVE-2022-23540」や、設定の誤りによりトークンの検証が正しく行われない「CVE-2022-23541」が判明した。

くわえてレガシーで安全でないキータイプが署名検証に使用される「CVE-2022-23539」が明らかとなっている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、採番機関であるGitHubと米国立標準技術研究所（NIST）の脆弱性データベース「NVD」において差が生じている。また一部については、影響度の評価や「脆弱性」との判断に疑問の声も出ている。

（Security NEXT - 2023/01/13 ）ツイート