【严重漏洞】JWT token可允许恶意操作，包括远程代码执行（RCE）

漏洞名称：JWT token可允许恶意操作，包括远程代码执行（RCE）

漏洞出现时间：2023年10月6日

影响等级：严重

影响版本：

- < 5.2.2

漏洞说明：

    影响用户可以对Manager和API访问的身份验证中使用的JWT令牌（JSON Web令牌）进行逆向工程，伪造有效的NeuVector令牌以在NeuVector中执行恶意活动。这可能导致RCE。补丁升级至NeuVector[5.2.2版](https://open-docs.neuvector.com/releasenotes/5x)或更高版本和最新Helm图表（2.6.3+）。+在5.2.2中，JWT签名证书由控制器自动创建，有效期为90天，并自动轮换。+使用Helm-based部署/升级到5.2.2为Manager、REST API、ahd注册表适配器生成唯一证书。

修复方式：

• 升级置最新版本

• https://github.com/neuvector/neuvector/security/advisories/GHSA-622h-h2p8-743x
  

相关链接：

• https://github.com/neuvector/neuvector/security/advisories/GHSA-622h-h2p8-743x

• https://open-docs.neuvector.com/releasenotes/5x
  

最快的威胁情报，最全的漏洞评估

Tips

JSON Web Token (JWT) 是一个开放标准 (RFC 7519)，它定义了一种紧凑（compact）且自包含（self-contained）的方式，用于在各方之间以JSON 对象方式安全地传输信息。