Authlib: Gefälschte JWT-Token durch leeren HMAC-Schlüssel

Zusammenfassung

Authlib, eine Python-Bibliothek für OAuth und OpenID Connect, akzeptiert für HS256-, HS384- und HS512-Signaturen einen leeren HMAC-Schlüssel. Wenn eine Anwendung das Verifizierungsgeheimnis aus einer Quelle lädt, die einen leeren Wert liefern kann, kann ein Angreifer ohne Kenntnis eines Geheimnisses eine gültige Signatur für beliebige Token-Claims berechnen. Authlib behandelt das gefälschte Token dann als authentisch, was zu einer Authentifizierungsumgehung führen kann, etwa durch erhöhte Berechtigungen oder die Übernahme fremder Benutzerkonten.

Betroffen

• Authlib-Versionen vor 1.9.1
• Die Quellen widersprechen sich zum genauen Bereich (Advisory: <= 1.7.2; andere: vor 1.9.1 oder bis 1.9.0). Alle Versionen vor 1.9.1 gelten als betroffen.

Behoben in

• Authlib 1.9.1 (lehnt leeres oct-Schlüsselmaterial ab)

Umgehung

• Sicherstellen, dass HMAC-Verifizierungsschlüssel nie leer oder nicht gesetzt sind; bei leerem Ergebnis einer Geheimnisabfrage abbrechen.
• Akzeptierte Algorithmen nach Möglichkeit auf asymmetrische beschränken, sodass HS256, HS384 und HS512 nicht akzeptiert werden.

Ausnutzung

• Advisory und Ursachenanalyse sind öffentlich; kein öffentlicher Exploit bekannt.
• Nicht im CISA KEV aufgeführt. CISA SSVC: Exploitation none, nicht automatisierbar.
• Ausnutzung erfordert eine Anwendung, die Token mit einem leeren Schlüssel verifiziert.

Unsere Empfehlung

• Python-Projekte und Lockfiles inklusive transitiver Abhängigkeiten auf authlib unterhalb 1.9.1 prüfen.
• Auf Authlib 1.9.1 oder neuer aktualisieren.
• Prüfen, dass kein HMAC-Schlüssel leer sein kann und Token mit den erwarteten Algorithmen validiert werden.
• Aus dem Internet erreichbare OAuth/OIDC- und API-Dienste prüfen und auf unerwartete Token-Nutzung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-8m4g-j4wp-wgcg github.com
• Authlib v1.9.1 release github.com
• Authlib fix commit 4ff30db github.com
• OSV: GHSA-8m4g-j4wp-wgcg osv.dev
• GitLab Advisory Database: Authlib CVE-2026-114616 advisories.gitlab.com
• VulDB: CVE-2026-114616 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:28.