偵測

JSON Web Token「None」雜湊演算法

high Web App Scanning Plugin ID 112703

語系：

概要

JSON Web Token「None」雜湊演算法

說明

可以簽署 JSON Web Token，以防止資料竄改。應用程式會使用非對稱或對稱簽署演算法來計算權杖資料的簽章，然後權杖解碼期間進行驗證，以確保其完整性。

具有「none」演算法和空白簽章的應用程式可以設定 JSON Web 權杖，使資料保持未簽署狀態，且可在無任何驗證的的情況下變更。此外，某些用於處理 JSON Web 權杖的程式庫也可能存在此演算法的錯誤實作，導致以「none」演算法設定的權杖被驗證，即使這些權杖最初是使用簽章建立。

視權杖使用方式而定，攻擊者可利用此弱點來偽造有效權杖並模擬其他使用者，或取得進一步的權限。

解決方案

您應更新設定為使用「none」演算法建立 JSON Web 權杖的應用程式，以使用具有強式密碼或私密金鑰的受支援的簽署演算法。如果未簽署的權杖已經應用程式驗證 (儘管是使用簽章建立)，請確保用於處理 JSON Web 權杖的程式庫不會使用「none」演算法自動驗證權杖。

另請參閱

https://auth0.com/blog/critical-vulnerabilities-in-json-web-token-libraries

https://cheatsheetseries.owasp.org/cheatsheets/JSON_Web_Token_for_Java_Cheat_Sheet.html

https://medium.com/101-writeups/hacking-json-web-token-jwt-233fe6c862e6

https://medium.com/swlh/hacking-json-web-tokens-jwts-9122efe91e4a

https://research.securitum.com/jwt-json-web-token-security/

Plugin 詳細資訊

嚴重性: High

ID: 112703

類型: remote

已發布: 2021/2/16

已更新: 2024/1/8

掃描範本: api, basic, full, pci, scan

風險資訊

VPR

風險因素: Medium

分數: 5.1

CVSS v2

風險因素: High

基本分數: 7.8

媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:N

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: High

基本分數: 7.5

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

CVSS 評分資料來源: Tenable

參考資訊