p PatchFirst

CVE-2022-29217

CVE-2022-29217 · Key confusion through non-blocklisted public key formats in PyJWT

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

PyJWT is a Python implementation of RFC 7519. PyJWT supports multiple different JWT signing algorithms. With JWT, an attacker submitting the JWT token can choose the used signing algorithm. The PyJWT library requires that the application chooses what algorithms are supported. The application can specify `jwt.algorithms.get_default_algorithms()` to get support for all algorithms, or specify a single algorithm. The issue is not that big as `algorithms=jwt.algorithms.get_default_algorithms()` has to be used. Users should upgrade to v2.4.0 to receive a patch for this issue. As a workaround, always be explicit with the algorithms that are accepted and expected when decoding.

CVSS 7.4 · Высокий · EPSS 1,4% · Есть исправление

Опубликовано
Обновлено

Стек: system · python

Затронутые продукты и версии

  • pyjwt

    Версии
    • >= 1.5.0, < 2.4.0: Затронуто

    Нет опубликованного исправления

  • pyjwt Debian:12

    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.4.0-1

    Обновитесь до 2.4.0-1

  • pyjwt Debian:13

    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.4.0-1

    Обновитесь до 2.4.0-1

  • pyjwt Debian:14

    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.4.0-1

    Обновитесь до 2.4.0-1

  • pyjwt PyPI

    Версии
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.5.3
    • 1.6.0
    • 1.6.1
    • 1.6.3
    • 1.6.4
    • 1.7.0
    • 1.7.1
    • 2.0.0
    • 2.0.0a1
    • 2.0.0a2
    • 2.0.1
    • 2.1.0
    • 2.2.0
    • 2.3.0
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 1.5.0, < 2.4.0

    Обновитесь до 2.4.0

  • pyjwt PyPI

    Версии
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.5.3
    • 1.6.0
    • 1.6.1
    • 1.6.3
    • 1.6.4
    • 1.7.0
    • 1.7.1
    • 2.0.0
    • 2.0.0a1
    • 2.0.0a2
    • 2.0.1
    • 2.1.0
    • 2.2.0
    • 2.3.0
    Затронутые диапазоны версий
    • GIT: < 9c528670c455b8d948aff95ed50e22940d1ad3fc
    • ECOSYSTEM: ≥ 1.5.0, < 2.4.0

    Обновитесь до 2.4.0

  • pyjwt Ubuntu:18.04:LTS

    Версии
    • 1.4.2-1.1
    • 1.5.3+ds1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.5.3+ds1-1ubuntu0.1

    Обновитесь до 1.5.3+ds1-1ubuntu0.1

  • pyjwt Ubuntu:20.04:LTS

    Версии
    • 1.7.0-2
    • 1.7.1-1
    • 1.7.1-2ubuntu1
    • 1.7.1-2ubuntu2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.7.1-2ubuntu2.1

    Обновитесь до 1.7.1-2ubuntu2.1

  • pyjwt Ubuntu:22.04:LTS

    Версии
    • 1.7.1-2ubuntu2
    • 2.1.0-1
    • 2.3.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.3.0-1ubuntu0.1

    Обновитесь до 2.3.0-1ubuntu0.1

Первоисточники

Проверьте свой сервер →