CVE-2026-85394
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
python-jose do wersji 3.5.0 nieprawidłowo waliduje klucze asymetryczne w inicjalizacji HMAC, akceptując klucze publiczne w formacie DER bez otoczki PEM lub prefiksów SSH. Atakujący posiadający klucz publiczny usługi może sfałszować tokeny HS256, które przejdą weryfikację, gdy algorytmy nie są jawnie ograniczone. Jest to niepełna poprawka dla CVE-2024-33663.
Ocena ryzyka
Atakujący może podszyć się pod dowolnego użytkownika lub uzyskać nieautoryzowany dostęp do zasobów chronionych tokenami JWT.
Rekomendacja
Zaktualizuj python-jose do wersji z pełną poprawką lub jawnie ogranicz algorytmy używane do weryfikacji tokenów.
Inne podatności w python-jose
Zobacz wszystkie- CVE-2026-120459Wysokie
python-jose do wersji 3.5.0 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym sfałszować JWT, ponieważ HMACKey i CryptographyHMACKey akceptują klucze HMAC o zerowej długości. Gdy klucz weryfikacyjny HS256/HS384/HS512 jest pusty, np. oct JWK z pustym k, atakujący mogą sfałszować tokeny z dowolnymi roszczeniami.
- CVE-2016-7036Krytyczne
Wersje python-jose przed 1.3.2 nie stosują porównania w stałym czasie dla kluczy HMAC, co może być wykorzystane przez atakujących w nieokreślony sposób.
- CVE-2024-29370Średnie
W python-jose 3.3.0 (konkretnie jwe.decrypt) podatność pozwala atakującemu na wywołanie warunku Denial-of-Service (DoS) poprzez spreparowanie złośliwego tokenu JSON Web Encryption (JWE) o wyjątkowo wysokim współczynniku kompresji. Gdy token jest przetwarzany przez serwer, powoduje to znaczną alokację pamięci i czas przetwarzania podczas dekompresji.
Oryginalny opis (angielski, źródło NVD)
python-jose through 3.5.0 fails to properly validate asymmetric keys in HMAC initialization, accepting DER-encoded public keys that lack PEM armor or SSH prefixes. Attackers holding the service's public key can forge HS256 tokens that pass verification when algorithms are not explicitly restricted. This is an incomplete fix for CVE-2024-33663.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS