CVE-2024-37568: Authlib has algorithm confusion with… – CVSS 7.5 · Watchpost

← 脆弱性一覧

Authlib has algorithm confusion with asymmetric public keys

高 7.5CVE-2024-37568 · GHSA-5357-c2jx-v7qh · PYSEC-2024-52 · 09/06/2024 公開 · 17/06/2026 更新

要点

CVE-2024-37568 は authlib, authlib (authlib) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.39%（全脆弱性の 32.9% より高い）。
対処：1.3.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
authlib PyPI	`< 1.3.1`	`1.3.1`
authlib authlib	`< 1.3.1`	`1.3.1`

概要

lepture Authlib before 1.3.1 has algorithm confusion with asymmetric public keys. Unless an algorithm is specified in a jwt.decode call, HMAC verification is allowed with any asymmetric public key. (This is similar to CVE-2022-29217 and CVE-2024-33663.)

NVD の説明

lepture Authlib before 1.3.1 has algorithm confusion with asymmetric public keys. Unless an algorithm is specified in a jwt.decode call, HMAC verification is allowed with any asymmetric public key. (This is similar to CVE-2022-29217 and CVE-2024-33663.)

参考情報

nvd.nist.gov/vuln/detail/CVE-2024-37568 · ADVISORY
lepture/authlib · WEB
lepture/authlib · PACKAGE
pypa/advisory-database · WEB
lists.debian.org/debian-lts-announce/2025/10/msg00032.html · WEB
lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/FHJI32SN4FNAUVNALVGOKWHNSQ6XS3M5 · WEB
lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/IZI7HYGN7VZAYFV6UV3SRLYF7QGERXIU · WEB
vicarius.io/vsociety/posts/algorithm-confusion-in-lepture-authlib-cve-2024-37568 · WEB
lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/FHJI32SN4FNAUVNALVGOKWHNSQ6XS3M5

authlib のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン