- Yama var
- Son 7 gün
- CWE-287
- CWE-326
- CWE-1391
CVE-2026-114616
Authlib'de boş HMAC anahtarı kabul edilmesi JWS/JWT imza sahteciliğine yol açıyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Authlib, OAuth ve OpenID Connect sunucuları oluşturan bir Python kütüphanesidir. 1.9.1 sürümünden önce, Authlib'in OctKey.import_key fonksiyonu ile HMAC imzalama ve doğrulama yolu, sıfır uzunluklu anahtar materyalini kabul etmektedir. Bir uygulamanın gizli anahtar sorgulaması boş bir dize veya boş bayt dizisi döndürebiliyorsa, uzaktan bir saldırgan keyfi token talepleri için deterministik HS256, HS384 veya HS512 imzasını hesaplayabilir ve Authlib'in bu token'ı özgün kabul etmesini sağlayabilir. Bu sorun 1.9.1 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to 1.9.1, Authlib's OctKey.import_key() and HMAC signing and verification path accept zero-length key material. If an application's secret lookup can return an empty string or empty bytes, a remote attacker can compute the deterministic HS256, HS384, or HS512 signature for arbitrary token claims and have Authlib treat the token as authentic. This issue is fixed in version 1.9.1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| authlib | < 1.9.1 | 1.9.1 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.