检测

JSON Web Token None 哈希算法

high Web App Scanning 插件 ID 112703

语言：

简介

JSON Web Token None 哈希算法

描述

可以对 JSON Web Token 签名以防止数据篡改。应用程序会使用非对称或对称签名算法，计算将在标记解码期间验证的标记数据的签名，以确保其完整性。

具有“none”算法和空签名的应用程序可配置 JSON Web Token，使数据保持未签名和可变的状态，无需任何验证。此外，某些用于处理 JSON Web Token 的库也可能有此算法的错误实现，导致使用“none”算法设置的标记最初创建时带有签名，而受到验证。

根据标记的使用情况，攻击者可利用此漏洞伪造有效的标记并冒充其他用户，或获取进一步的权限。

解决方案

对于被配置为通过“none”算法创建 JSON Web Token 的应用程序，应更新为使用具有强秘钥或私钥的受支持签名算法。如应用程序对未签名的标记（尽管已使用签名创建）进行了验证，请确保用于处理 JJSON Web Tokens 的库不会通过“none”算法自动验证标记。

另见

https://auth0.com/blog/critical-vulnerabilities-in-json-web-token-libraries

https://cheatsheetseries.owasp.org/cheatsheets/JSON_Web_Token_for_Java_Cheat_Sheet.html

https://medium.com/101-writeups/hacking-json-web-token-jwt-233fe6c862e6

https://medium.com/swlh/hacking-json-web-tokens-jwts-9122efe91e4a

https://research.securitum.com/jwt-json-web-token-security/

插件详情

严重性: High

ID: 112703

类型: remote

发布时间: 2021/2/16

最近更新时间: 2024/1/8

扫描模板: api, basic, full, pci, scan

风险信息

VPR

风险因素: Medium

分数: 5.1

CVSS v2

风险因素: High

基本分数: 7.8

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:N

CVSS 分数来源: Tenable

CVSS v3

风险因素: High

基本分数: 7.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

CVSS 分数来源: Tenable

参考资料信息