AUTH0 CORRIGE VULNERABILIDAD CRÍTICA EN LA BIBLIOTECA JSONWEBTOKEN

09/01/2023

BOLETÍN NRO 2023-017

Recientemente, Auth0 corrigió una vulnerabilidad de ejecución remota de código en la biblioteca de código abierto inmensamente popular 'JsonWebToken' utilizada por más de 22,000 proyectos y descargada más de 36 millones de veces por mes en NPM.

Servicios Afectados

• JsonWebToken menor 9.0.0

Detalles Tecnicos

CVE: CVE-2022-23529                                    Severidad:   ALTA

JsonWebToken (JWT) es una biblioteca de código abierto muy popular que se utiliza para implementar tokens de autenticación JSON. Es utilizada por muchos proyectos de código abierto, incluyendo proyectos de Microsoft, Twilio, Salesforce, Intuit, Box, IBM, Docusign, Slack y SAP. Recientemente, se descubrió una vulnerabilidad de ejecución remota de código en JWT, identificada como CVE-2022-23529, que afecta a todas las versiones anteriores a la 9.0.0, lanzada el 21 de diciembre de 2022.

Esta vulnerabilidad podría permitir a los atacantes eludir los mecanismos de autenticación, acceder a información confidencial y robar o modificar datos. Sin embargo, se señala que los actores de amenazas primero tendrían que comprometer el proceso de administración de secretos entre una aplicación y un servidor JWT, lo que dificultaría su explotación y reduciría la gravedad de la vulnerabilidad. Si su proyecto utiliza una versión vulnerable de JWT, se recomienda actualizar a la versión más reciente lo antes posible para protegerse contra posibles ataques.

La vulnerabilidad CVE-2022-23529 es un problema grave, ya que permite la ejecución remota de código en servidores que utilizan JsonWebToken.

Esto significa que un atacante podría enviar un token JWT creado de manera malintencionada al servidor y, si el servidor lo verifica y ejecuta el código incluido en el token, el atacante podría obtener acceso no autorizado al sistema y realizar cualquier acción que desee.

Es importante que los usuarios de JsonWebToken tomen medidas para protegerse contra esta vulnerabilidad, como aplicar parches de seguridad o actualizar a una versión más reciente del software que incluya una solución para este problema.

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Actualizar a la utlima versión recomendada.
• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

** Aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Auth0 fixes RCE flaw in JsonWebToken library used by 22,000 projects
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​