joserfc: Umgehung der Signaturprüfung über leeres signatures-Array in JWS

Zusammenfassung

joserfc ist eine Python-Bibliothek, die JOSE-Standards umsetzt. Vor Version 1.7.4 behandelt der General-JSON-Serialisierungspfad der JWS-Deserialisierung eine Nachricht mit leerem signatures-Array als authentifiziert. Ein Angreifer ohne Signaturschlüssel kann dadurch eine beliebige Payload einschleusen, die die Anwendung als echt akzeptieren könnte. Compact JWS/JWT, Flattened-JSON-Serialisierung und JWE-JSON-Verarbeitung sind nicht betroffen.

Betroffen

• joserfc-Versionen vor 1.7.4 (Herstellerhinweis GHSA-4pp3-559j-c5c2)
• Nur Anwendungen, die jws.deserialize_json() mit General JSON Serialization verwenden, sind betroffen
• Hinweis: Drittdatenbanken nennen abweichende Bereiche (zum Beispiel 1.7.3-1.7.4); der Herstellerbereich gilt als massgeblich

Behoben in

• Behoben in joserfc 1.7.4 (Fix-Commit f409f8f)
• Es existieren neuere Versionen; vor dem Upgrade die Release-Notes der neuesten stabilen Version prüfen

Umgehung

• Kein vom Hersteller dokumentierter Workaround.
• Falls ein Upgrade verzögert wird, Anwendungscode prüfen, der General-JSON-Deserialisierung aufruft, und dessen Ergebnis nicht ohne eigene unabhängige Prüfungen vertrauen.

Ausnutzung

• CISA-SSVC-Daten (ADP) stufen die Ausnutzung als 'poc' und die Automatisierbarkeit als 'yes' ein.
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Joserfc in Anwendungsabhängigkeiten, SBOMs und pip-Lock-Dateien prüfen, einschliesslich indirekter Abhängigkeiten.
• Auf joserfc 1.7.4 oder neuer aktualisieren.
• Aus dem Internet erreichbare Python-Dienste, die JOSE-Objekte prüfen, priorisieren.
• Den Authentifizierungspfad nach dem Upgrade testen und Code mit General-JSON-Serialisierung überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-4pp3-559j-c5c2 github.com
• Fix commit f409f8f github.com
• joserfc release 1.7.4 github.com
• Ubuntu security notice CVE-2026-102946 ubuntu.com
• OSV Debian CVE-2026-102946 osv.dev
• OpenCVE CVE-2026-102946 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:32.