JVNDB-2025-024811

Hsiaomingのjoserfc (JOSE RFC)における制限またはスロットリング無しのリソースの割り当てに関する脆弱性

joserfcは、いくつかのJSON Object Signing and Encryption（JOSE）標準を実装したPythonライブラリです。バージョン1.3.3から1.3.5未満および1.4.0から1.4.2未満の期間では、ExceededSizeError例外メッセージに非デコードのJWTトークン部分が埋め込まれ、Pythonのログに恣意的に大きく偽造されたJWTペイロードが記録される可能性があります。誤設定されているか、または全く存在しない本番環境向けのウェブサーバーがPythonウェブアプリケーションの前にある場合、攻撃者はHTTPリクエストヘッダーに任意の大きさのベアラートークンを送信できる可能性があります。この場合、Pythonのログや診断ツール（例えばSentry）は、joserfc.jwt.decode()操作中に完全なJWTヘッダーを含む非常に大きなログメッセージを処理してしまうことがあります。同様の動作はクレームおよび署名ペイロードのサイズ検証時にも発生し、ライブラリは完全なペイロードを例外メッセージに埋め込んだ状態でjoserfc.errors.ExceededSizeError()を発生させます。この段階でペイロードはすでにメモリに完全にロードされているため、ライブラリはそれを防止または拒否することができません。この問題はバージョン1.3.5および1.4.2で修正されました。

Hsiaoming

• joserfc (JOSE RFC) 1.3.3 以上 1.3.5 未満
• joserfc (JOSE RFC) 1.4.0 以上 1.4.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Possible Uncontrolled Resource Consumption Vulnerability Triggered by Logging Arbitrarily Large JWT Token Payloads  Advisory  authlib/joserfc  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2025-65015

1. National Vulnerability Database (NVD) : CVE-2025-65015
2. 関連文書 : fix: remove raw value from ExceededSizeError  authlib/joserfc@673c874  GitHub
3. 関連文書 : Release 1.3.5  authlib/joserfc  GitHub
4. 関連文書 : Release 1.4.2  authlib/joserfc  GitHub
5. 関連文書 : fix: remove raw value from ExceededSizeError  authlib/joserfc@63932f1  GitHub

• [2026年01月19日]
    掲載