解析没有受保护字段的 JSON 序列化负载可能会导致段错误 (CVE-2024-21664)

CVE编号

CVE-2024-21664

利用情况

暂无

补丁情况

N/A

披露时间

2024-01-10

漏洞描述

jwx是一个实现各种JWx（JWA/JWE/JWK/JWS/JWT，也称为JOSE）技术的Go模块。当调用`jws.Parse`时，如果JSON序列化的负载中`signature`字段存在而`protected`字段不存在，就会导致nil指针解引用。攻击者可以利用此漏洞来崩溃/拒绝服务进行JWS验证的系统。此漏洞已在版本2.0.19中修复。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/lestrrat-go/jwx/commit/0e8802ce6842625845d651456493e7c87625601f
https://github.com/lestrrat-go/jwx/commit/d69a721931a5c48b9850a42404f18e143704adcd
https://github.com/lestrrat-go/jwx/security/advisories/GHSA-pvcr-v8j8-j5q3

CVSS3评分 4.3

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 需要
• 可用性 低
• 保密性 无
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L

CWE-ID	漏洞类型
CWE-476	空指针解引用

Exp相关链接

- avd.aliyun.com