{"id":551447,"date":"2023-01-10T09:06:43","date_gmt":"2023-01-10T11:06:43","guid":{"rendered":"https:\/\/teknomers.com\/fr\/grave-faille-de-securite-detectee-dans-jsonwebtoken-bibliotheque-utilisee-par-plus-de-22-000-projets\/"},"modified":"2023-01-10T09:06:45","modified_gmt":"2023-01-10T11:06:45","slug":"grave-faille-de-securite-detectee-dans-jsonwebtoken-bibliotheque-utilisee-par-plus-de-22-000-projets","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/grave-faille-de-securite-detectee-dans-jsonwebtoken-bibliotheque-utilisee-par-plus-de-22-000-projets\/","title":{"rendered":"Grave faille de s\u00e9curit\u00e9 d\u00e9tect\u00e9e dans "jsonwebtoken" Biblioth\u00e8que utilis\u00e9e par plus de 22 000 projets"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>10 janvier 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>S\u00e9curit\u00e9 des logiciels \/ cha\u00eene d’approvisionnement<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Une faille de s\u00e9curit\u00e9 tr\u00e8s grave a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e dans la biblioth\u00e8que open source jsonwebtoken (JWT) qui, si elle est exploit\u00e9e avec succ\u00e8s, pourrait conduire \u00e0 l’ex\u00e9cution de code \u00e0 distance sur un serveur cible.<\/p>\n

“En exploitant ce vuln\u00e9rabilit\u00e9<\/a>les attaquants pourraient r\u00e9aliser l’ex\u00e9cution de code \u00e0 distance (RCE) sur un serveur en v\u00e9rifiant une demande de jeton Web JSON (JWT) con\u00e7ue de mani\u00e8re malveillante \u00bb, Artur Oleyarsh, chercheur \u00e0 l’unit\u00e9 42 de Palo Alto Networks m’a dit<\/a> dans un rapport du lundi.<\/p>\n

Suivi comme CVE-2022-23529<\/strong><\/a> (score CVSS\u00a0: 7,6), le probl\u00e8me affecte toutes les versions de la biblioth\u00e8que, y compris et en dessous de 8.5.1, et a \u00e9t\u00e9 r\u00e9solu dans version 9.0.0<\/a> exp\u00e9di\u00e9 le 21 d\u00e9cembre 2022. La faille a \u00e9t\u00e9 signal\u00e9e par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 le 13 juillet 2022.<\/p>\n

jsonwebtoken, qui est d\u00e9velopp\u00e9 et maintenu<\/a> par Auth0 d’Okta, est un module JavaScript qui permet aux utilisateurs de d\u00e9coder, v\u00e9rifier et g\u00e9n\u00e9rer des jetons Web JSON comme moyen de transmettre en toute s\u00e9curit\u00e9 des informations entre deux parties pour l’autorisation et l’authentification. Il a plus 10 millions de t\u00e9l\u00e9chargements hebdomadaires<\/a> sur le registre des logiciels npm et est utilis\u00e9 par plus de 22 000 projets.<\/p>\n

Par cons\u00e9quent, la possibilit\u00e9 d’ex\u00e9cuter un code malveillant sur un serveur pourrait rompre les garanties de confidentialit\u00e9 et d’int\u00e9grit\u00e9, permettant potentiellement \u00e0 un acteur malveillant d’\u00e9craser des fichiers arbitraires sur l’h\u00f4te et d’effectuer toute action de son choix \u00e0 l’aide d’une cl\u00e9 secr\u00e8te empoisonn\u00e9e.<\/p>\n

\"faille<\/div>\n

“Cela \u00e9tant dit, afin d’exploiter la vuln\u00e9rabilit\u00e9 d\u00e9crite dans ce post et de contr\u00f4ler le valeur secretOrPublicKey<\/a>un attaquant devra exploiter une faille dans le processus de gestion des secrets \u00bb, a expliqu\u00e9 Oleyarsh.<\/p>\n

Alors que les logiciels open source apparaissent de plus en plus comme une voie d’acc\u00e8s initiale lucrative pour les acteurs de la menace pour organiser des attaques de la cha\u00eene d’approvisionnement, il est crucial que les vuln\u00e9rabilit\u00e9s de ces outils soient identifi\u00e9es, att\u00e9nu\u00e9es et corrig\u00e9es de mani\u00e8re proactive par les utilisateurs en aval.<\/p>\n

Pire encore, les cybercriminels sont devenus beaucoup plus rapides pour exploiter les failles nouvellement r\u00e9v\u00e9l\u00e9es, r\u00e9duisant consid\u00e9rablement le temps entre la publication d’un correctif et la disponibilit\u00e9 de l’exploit. Selon Microsoft, il ne faut que 14 jours en moyenne pour qu’un exploit soit d\u00e9tect\u00e9 dans la nature apr\u00e8s la divulgation publique d’un bogue.<\/p>\n

Pour lutter contre ce probl\u00e8me de d\u00e9couverte de vuln\u00e9rabilit\u00e9s, Google a annonc\u00e9 le mois dernier la sortie d’OSV-Scanner, un utilitaire open source qui vise \u00e0 identifier toutes les d\u00e9pendances transitives d’un projet et \u00e0 mettre en \u00e9vidence les lacunes pertinentes qui l’affectent.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n