JWT の脆弱性.

JSON Web Token の検証実装に潜む欠陥群で、トークンの偽造・権限昇格・認証バイパスを許す。 サイバーセキュリティの アプリケーションセキュリティ カテゴリに属します。

JSON Web Token の検証実装に潜む欠陥群で、トークンの偽造・権限昇格・認証バイパスを許す。

JSON Web Token は認証と API 認可で広く使われていますが、署名オプションの柔軟さが原因で繰り返し見つかる脆弱性クラスがあります。古典的な alg=none バグは、検証側が署名なしトークンを受理する不具合です。HS256 の弱い秘密鍵はオフラインで解読可能で、任意のトークンを作られます。鍵の取り違え(key confusion)は、サーバーが RS256 用の公開鍵を HS256 の HMAC 秘密鍵として扱い検証する場合に発生します。その他、署名検証の欠落、期限切れトークンの受理、kid ヘッダー経由のインジェクション(パストラバーサルや SQLi)、jwk/jku 攻撃などがあります。対策はサーバー側で許可アルゴリズムを固定し、強い非対称鍵を使い、kid を許可リストで検証し、JWT を信頼しない入力として扱うことです。

JWT の脆弱性 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。