- Son 7 gün
- CWE-184
- CWE-347
CVE-2026-114615
Authlib'de eksik algoritma karışıklığı düzeltmesi, önekli açık anahtarlarla HMAC sahteciliğine izin veriyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Authlib, OAuth ve OpenID Connect sunucuları oluşturan bir Python kütüphanesidir. 1.3.1 ile 1.9.0 sürümleri arasında OctKey.import_key fonksiyonu, asimetrik anahtar işaretçilerini yalnızca ilk baytta kontrol ederken Authlib'in PEM yükleyicileri baştaki boşlukları, yorumları veya bayt sıra işaretini (BOM) kabul etmektedir. Belgelenmiş karma algoritma kaydını kullanan ve doğrulamayı zaten bu tür önekler içeren PEM veya sertifika baytlarıyla yapılandırmış dağıtımlarda, aynı açık anahtar baytlarını bilen kimliği doğrulanmamış bir saldırgan, bu baytları HMAC gizli anahtarı olarak kullanabilir ve rastgele kimlik veya yetki talepleri içeren HS256 belirteçleri sahteciliği yapabilir. Bu durum, CVE-2024-37568 için yapılan düzeltmenin atlatılmasıdır. Modül düzeyindeki jwt nesnesi, authlib/jose/rfc7518/oct_key.py dosyasındaki OctKey.import_key fonksiyonuna ulaşmakta ve POSSIBLE_UNSAFE_KEYS, önekli asimetrik anahtar materyalini tespit edememektedir. Bu sorun 1.9.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Authlib is a Python library which builds OAuth and OpenID Connect servers. From 1.3.1 until 1.9.0, OctKey.import_key() checks asymmetric-key markers only at byte zero while Authlib's PEM loaders accept leading whitespace, comments, or a byte-order mark. In deployments that use the documented mixed algorithm registry and already configure verification with PEM or certificate bytes containing such a prefix, an unauthenticated attacker who knows those same public-key bytes can use them as an HMAC secret and forge HS256 tokens with arbitrary identity or authorization claims. This is a bypass of the remediation for CVE-2024-37568. The module-level jwt object reaches OctKey.import_key() in authlib/jose/rfc7518/oct_key.py, where POSSIBLE_UNSAFE_KEYS fails to identify prefixed asymmetric key material. This issue is fixed in version 1.9.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| authlib | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.