CVE-2025-62706 in Authlib
요약
\~에 의해 VulDB • 2026. 06. 14.
Authlib은 OAuth 및 OpenID Connect 서버를 구축하는 Python 라이브러리입니다. 버전 1.6.5 이전의 Authlib에서 JWE의 zip=DEF 경로는 무제한 DEFLATE 압축 해제를 수행합니다. 매우 작은 암호문은 복호화 시 수십 또는 수백 메가바이트로 확장될 수 있으며, 이를 통해 공격자가 복호화 가능한 토큰을 제공하여 메모리와 CPU를 고갈시키고 서비스 거부(Denial of Service)를 유발할 수 있습니다. 이 문제는 버전 1.6.5에서 패치되었습니다. 이 문제에 대한 우회 방법으로는 애플리케이션 경계에서 수신 JWE에 대한 zip=DEF를 거부하거나 제거하거나, fork를 수행하고 decompressobj().decompress(data, MAX_SIZE))를 통해 제한된 압축 해제 가드를 추가하여 출력이 안전한 한계를 초과할 경우 오류를 반환하거나, 엄격한 최대 토큰 크기를 강제하고 과다한 입력 시 빠르게 실패하도록 하며, 속도 제한(rate limiting)과 결합하는 것이 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.