PyJWT 2.4.0 à 2.13.0 peut accepter une clé publique au format DER comme secret HMAC, contournant une protection qui ne détecte que certains marqueurs PEM ou SSH. Le risque concerne les applications configurées pour accepter à la fois des algorithmes HMAC et asymétriques avec la même clé ; la correction est PyJWT 2.14.0.
Source : GHSA-p4g4-x82p-q773 — PyJWT: Public keys in DER form are accepted as HMAC secrets
Analyse technique
La vérification HMAC recherchait des marqueurs textuels PEM et SSH mais n’analysait pas les clés DER. L’avis précise que les applications utilisant PyJWK ou PyJWKClient ne sont pas concernées par ce chemin.
Impact, versions et correctif
Action recommandée
Mettre à niveau vers PyJWT 2.14.0 ou ultérieure et séparer les algorithmes HMAC des algorithmes asymétriques.
Sources
Priorisation DFS : P3 · 1 source(s).