Názory k článku Postřehy z bezpečnosti: Gootkit je stále aktivní a útočí na zdravotnická zařízení

U knihoven by bylo vhodné psát alespoň pro který programovací jazyk ta knihovna je. V tomto případě je JsonWebToken JavaScriptová knihovna, ale knihovny s takovým názvem mohou existovst pro spoustu dalších jazyků.

Pre zneužitie tej zraniteľnosti v jsonwebtoken určite nestačí poslať špeciálne upravený JWT. Útočník by musel upraviť kľúč na strane aplikácie, ktorý sa používa na overovanie podpisu v JWT. Musel by namiesto toho kľúča uložiť informáciu, ktorá bude neskôr aplikáciou interpretovaná ako javascriptový objekt s upravenou funkciou toString(). Alebo by musel byť schopný zasahovať do kódu aplikácie. Ale to už potom RCE má a ďalšie mu netreba :-) Viac sa o tom môžete dočítať tu: https://github.com/github/advisory-database/pull/1595

16. 1. 2023, 10:46 editováno autorem komentáře