Python JWT库曝DoS漏洞：压缩炸弹攻击来袭

导语：Python-jwcrypto库旧版本存在拒绝服务漏洞，攻击者可利用高压缩比的恶意JWT令牌触发内存耗尽，导致服务崩溃。

正文

Python-jwcrypto库维护团队发布安全公告，披露1.5.6版本之前存在一个严重的拒绝服务（DoS）漏洞。该库是Python生态中广泛使用的JWT（JSON Web Token）实现，支持JWS和JWE标准。

漏洞根因在于jwcrypto处理压缩的JWE（JSON Web Encryption）令牌时缺乏安全检查。攻击者可构造一个经过极高比例压缩的恶意令牌，当库尝试解压缩时，小体积的输入数据可被膨胀为巨大的内存对象，迅速耗尽服务器内存资源。

这种攻击方式被称为”压缩炸弹”（Compression Bomb）或”zip bomb”，是一种经典的资源耗尽攻击手法。在API认证、单点登录等大量使用JWT的场景中，该漏洞可被用来瘫痪服务。

受影响的版本（<1.5.6）在PyPI上有大量下载量，许多依赖该库的Web应用和微服务都可能暴露在此风险之下。

影响分析

该漏洞影响所有使用jwcrypto 1.5.6之前版本的Python应用，尤其是采用JWT进行身份验证的Web服务和API网关。该漏洞可被远程利用，无需认证即可触发，具有较高的实际威胁价值。

防护建议

1. 升级库版本：立即将jwcrypto升级至1.5.6或更高版本
2. 输入验证：在处理JWT前限制输入令牌大小
3. 内存监控：部署应用级内存使用监控和告警
4. 速率限制：对认证端点实施严格的速率限制
5. 依赖审计：使用pip-audit等工具定期检查依赖漏洞