JSON Web Token 弱密钥

high Web App Scanning 插件 ID 112697

简介

JSON Web Token 弱密钥

描述

可以对 JSON Web Token 签名以防止数据篡改。应用程序会使用非对称或对称签名算法,计算将在标记解码期间验证的标记数据的签名,以确保其完整性。使用对称算法时,系统会通过所选的 HMAC 函数连同密钥创建签名。

使用弱密钥使其容易受到暴力破解攻击,允许标记被代表应用程序操纵和签名。根据标记的使用情况,攻击者可利用此漏洞伪造有效的标记并冒充其他用户,或获取进一步的权限。

解决方案

用于签署应用程序中 JSON Web Token 的密钥必须更强(较长且随机),以防止通过暴力破解攻击对其进行检索。请注意,JSON Web 算法标准 (RFC 7518) 定义的最小密钥长度等于 HMAC 算法所使用哈希函数的大小(以位为单位)。

另见

https://cheatsheetseries.owasp.org/cheatsheets/JSON_Web_Token_for_Java_Cheat_Sheet.html

https://medium.com/101-writeups/hacking-json-web-token-jwt-233fe6c862e6

https://medium.com/swlh/hacking-json-web-tokens-jwts-9122efe91e4a

https://research.securitum.com/jwt-json-web-token-security/

插件详情

严重性: High

ID: 112697

类型: remote

发布时间: 2021/2/11

最近更新时间: 2024/7/1

扫描模板: api, basic, full, pci, scan

风险信息

VPR

风险因素: Low

分数: 3.6

CVSS v2

风险因素: High

基本分数: 7.8

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:N

CVSS 分数来源: Tenable

CVSS v3

风险因素: High

基本分数: 7.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

CVSS 分数来源: Tenable

CVSS v4

风险因素: High

Base Score: 8.7

Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

CVSS 分数来源: Tenable

参考资料信息