Verification Bypass in jsonwebtoken

緊急 9.8CVE-2015-9235 · GHSA-c7hr-j4mj-j2w6 · 29/05/2018 公開 · 17/06/2026 更新

要点

CVE-2015-9235 は jsonwebtoken (auth0), jsonwebtoken に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：8.5%（全脆弱性の 95.0% より高い）。
対処：4.2.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
jsonwebtoken auth0	`< 4.2.2`	`4.2.2`
jsonwebtoken npm	`< 4.2.2`	`4.2.2`

概要

Versions 4.2.1 and earlier of jsonwebtoken are affected by a verification bypass vulnerability. This is a result of weak validation of the JWT algorithm type, occuring when an attacker is allowed to arbitrarily specify the JWT algorithm.

Recommendation

Update to version 4.2.2 or later.

NVD の説明

In jsonwebtoken node module before 4.2.2 it is possible for an attacker to bypass verification when a token digitally signed with an asymmetric key (RS/ES family) of algorithms but instead the attacker send a token digitally signed with a symmetric algorithm (HS* family).