Auth0, 22.000'den fazla proje tarafından kullanılan ve NPM'de ayda 36 milyondan fazla kez indirilen son derece popüler 'JsonWebtoken' açık kaynak kütüphanesinde bir uzaktan kod yürütme güvenlik açığı düzeltildi.
Kütüphane, Microsoft, Twilio, Salesforce, Intuit, Box, IBM, Docusign, Slack, SAP ve daha fazlası tarafından oluşturulan açık kaynak projelerinde kullanılır.
Güvenlik açığı CVE-2022-23529 izlenir ve 21 Aralık'ta tatillerden hemen önce piyasaya sürülen 9.0.0'ın altındaki JsonWebtoken sürümlerini etkiler.
JSonWebtoken projesi, JSON Web jetonlarını oluşturmak, imzalamak ve doğrulamak için kullanılan açık kaynaklı bir kütüphanedir.
"JSON Web Token (JWT), taraflar arasında bir JSON nesnesi olarak güvenli bir şekilde aktarmak için kompakt ve bağımsız bir yol tanımlayan açık bir standarttır (RFC 7519). Bu bilgiler dijital olarak imzalandığı için doğrulanabilir ve güvenilir," diye açıklıyor. Auth0'ın jwt.io sitesi.
Proje OKTA Auth0 tarafından geliştirildi ve korunuyor ve NPM paket deposunda haftalık 9 milyondan fazla indirme ve kütüphanede 22.000'den fazla projeye sahip ve büyük kabulünü yansıtıyor.
CVE-2022-23529'un başarılı bir şekilde kullanılması, saldırganların kimlik doğrulama mekanizmalarını atlamasını, gizli bilgilere erişmesini ve verileri çalmasını veya değiştirmesini sağlayabilir.
Bununla birlikte, birim 42, tehdit aktörlerinin önce bir uygulama ve bir JSonWebtoken sunucusu arasındaki gizli yönetim sürecini tehlikeye atması gerektiği konusunda uyarır, bu da sömürülmeyi zorlaştırır ve şiddet derecesini 7.6/10'a düşürür.
CVE-2022-23529 güvenlik açığı, Palo Alto Networks birimi 42 tarafından 13 Temmuz 2022'de keşfedildi ve hemen Auth0'a bildirildi.
Araştırmacılar, tehdit aktörlerinin, kötü niyetli bir JWS jetonunu doğruladıktan sonra JsonWebtoken kullanarak sunucularda uzaktan kod yürütme yapabileceğini buldular.
Buna izin veren kusur, bir JWT'yi doğrulamak ve kod çözülmüş bilgileri döndürmek için kullanılan JSonWeboken'in Verify () yöntemindedir. Bu yöntem üç parametreyi kabul eder - jeton, SecretorPublicKey ve seçenekler.
Bununla birlikte, bir dize veya arabellek olup olmadığını belirlemek için 'SecretorPublicKey' parametresinde bir kontrol eksikliği nedeniyle, saldırganlar hedef makinede keyfi dosya yazma yapmak için özel hazırlanmış bir nesne gönderebilirler.
Aynı kusuru, ancak istek üzerine biraz farklı bir yükü kullanan Unit42, uzaktan kod yürütülmesinin pratik olarak mümkün olacağını bildiriyor.
Bu güvenlik açığı "yüksek şiddetli" (CVSS 3.1 puanı: 7.6) olarak kategorize edilir ve kritik değildir, çünkü tehdit aktörleri sadece gizli yönetim sürecinde sömürebileceği için kaldıraç karmaşıktır.
GitHub'daki güvenlik danışmanlığını okurken, “Yalnızca güvenilmez varlıkların kontrol ettiğiniz bir ana bilgisayardaki JWT.Verify () 'nin anahtar alma parametresini değiştirmesine izin verirseniz etkilenirsiniz” diyor GitHub'daki güvenlik danışmanlığı.
Auth0 ekibi, Ağustos 2022'de bir çözüm üzerinde çalıştıklarını doğruladı ve sonunda 21 Aralık 2022'de JsonWebtoken sürüm 9.0.0 ile bir yama yayınlandı.
Düzeltme, SecretorPublicKey parametresi için ek kontrollerin uygulanmasını ve kötü niyetli nesneleri ayrıştırmasını önlemeyi içerir.
JsonWebtoken'in genişçe kullanılan açık kaynaklı bir kütüphane olması nedeniyle, kusur büyük tedarik zinciri yansımalarına sahiptir ve çoğu proje güvenli bir versiyona yükselene kadar uzun bir süre devam edecektir.
Kusurdan yararlanmak zor olsa da, tehdit aktörlerinin istismar etme hevesliliği, potansiyel hedeflerin sayısı göz önüne alındığında hafife alınamaz, bu nedenle mevcut güvenlik güncellemesinin uygulanması tüm sistem yöneticileri için bir öncelik olmalıdır.
Bilgisayar korsanları kritik Citrix ADC ve Gateway Zero Günü'nden yararlanıyor, şimdi yama
F5, Big-IP'de iki uzaktan kod yürütme kusurunu düzeltir
Araştırmacılar, sahne arkası öncesi RCE Bug için istismar ayrıntılarını yayınladı
Ransomware Gang, sunucuları ihlal etmek için yeni Microsoft Exchange istismarını kullanıyor
Bilgisayar korsanları, backdoors yüklemek için kritik vmware rce kusurunu kullanır
Kaynak: Bleeping Computer