CVE-2024-25189

Podatność timing side channel w libjwt umożliwiająca obejście uwierzytelnienia

CVSS 9.8v3.1pub. 2024-02-08upd. 2025-11-18

Biblioteka libjwt 1.15.3 używa funkcji strcmp do weryfikacji tokenów JWT, która nie działa w stałym czasie, co umożliwia atakującemu ominięcie uwierzytelnienia poprzez atak czasowy (timing side channel). Jest to podatność krytyczna, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

libjwt 1.15.3 uses strcmp (which is not constant time) to verify authentication, which makes it easier to bypass authentication via a timing side channel.

🤖 Analiza AI

Jak działa

Funkcja strcmp kończy porównywanie ciągów znaków w momencie napotkania pierwszej różnicy, co powoduje, że czas wykonania operacji jest zależny od liczby pasujących znaków na początku porównywanych wartości. Atakujący może mierzyć czas odpowiedzi serwera dla kolejnych prób uwierzytelnienia, by stopniowo odgadywać poprawną wartość tokenu JWT znak po znaku. Tego rodzaju atak, znany jako timing side channel, pozwala na skuteczne ominięcie mechanizmu weryfikacji nawet bez znajomości sekretu podpisującego token.

Skutki

Atakujący zdalny, nieuwierzytelniony może ominąć mechanizm uwierzytelnienia oparty na JWT i uzyskać nieautoryzowany dostęp do zasobów chronionych aplikacji, potencjalnie prowadząc do naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Użytkownicy Debian Linux powinni zainstalować aktualizację opisaną w komunikacie debian-lts-announce z lutego 2024 roku.