node-jsonwebtoken远程代码执行漏洞 （CVE-2022-23529）

漏洞描述: 

近日，飓风安全应急团队监测node-jsonwebtoken发布安全公告，修复了一个存在于node-jsonwebtoken中的远程代码执行漏洞，该漏洞是当允许不受信任的实体修改jwt.verify()控制的主机上的密钥检索参数时恶意攻击者可以修改函数的密钥检索参数，导致远程代码执行。

【受影响版本】

• node-jsonwebtoken <= 8.5.1

  
  

  
  

【安全版本】

• node-jsonwebtoken >= 9.0.0

node-jsonwebtoken 是 node.js 的 JsonWebToken 实现。

影响范围        

node-jsonwebtoken <= 8.5.1

解决方案                       

修复建议                                            

临时修复建议：

• 如果目前无法升级，若业务环境允许，使用白名单限制相关端口的访问来降低风险。

  
  

  
  

通用修复建议：

官方已经针对漏洞发布版本更新，下载地址如下：

• https://github.com/auth0/node-jsonwebtoken/tags

原文始发于微信公众号（飓风网络安全）：node-jsonwebtoken远程代码执行漏洞 （CVE-2022-23529）