CVE-2026-44699 in libjwt
要約
〜によって VulDB • 2026年05月19日
LibJWTはC言語のJSON Web Tokenライブラリです。3.0.0から3.3.2までのバージョンでは、libjwtはalgパラメータを含まないRSA JWKをHS256/HS384/HS512トークンの検証鍵として受け入れます。OpenSSLバックエンドでは、これによりHMAC検証がゼロ長さの鍵で実行されるため、攻撃者は秘密鍵やRSA秘密鍵を一切知らなくても有効なJWTを偽造できます。これはアルゴリズム混同による認証回避です。この脆弱性は、JWKSからRSA鍵を読み込み、kidルックアップコールバックなどでJWTヘッダーから検証アルゴリズムを選択するアプリケーションに影響します。algを省略することは有効なJWK構文であり、実際のデプロイメントで一般的です。この脆弱性は3.3.3で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.