Összefoglaló
A Node-jose nyílt forráskódú könyvtár közepes kockázati besorolású sérülékenysége vált ismertté, amelyet kihasználva a támadó képes megváltoztatni a JSON Web Signature (JWS) fejlécét.
Leírás
A sérülékenység a Node-jose könyvtár JSON Web Signature (JWS) komponensében található, amelyben meghatározásra kerül a hitelesítéshez használt nyilvános kulcs. A sérülékenység lehetővé teszi a támadó számára az eredeti aláírás eltávolítását, egy új nyilvános kulcs fejléchez történő hozzáadását, majd az objektum (támadó tulajdonában lévő) magánkulccsal való aláírását, ezáltal lehetősége nyílik az adatszerkezet megváltoztatására. A sérülékenység kihasználásához a támadónak hozzá kell férnie a belső hálózathoz.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Command InjectionHatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: tools.cisco.com