CVE-2026-44699
Що таке CVE-2026-44699?
LibJWT — це бібліотека веб-токенів C JSON. Від 3.0.0 до 3.3.2 libjwt приймає JWK RSA, який не містить параметра alg, як ключ перевірки для маркера HS256/HS384/HS512. У серверній частині OpenSSL це спричиняє виконання перевірки HMAC із ключем нульової довжини, тож зловмисник може підробити дійсний JWT, не знаючи секретного чи закритого ключа RSA. Це обхід автентифікації, пов’язаної з плутаниною алгоритму. Це впливає на програми, які завантажують ключі RSA з JWKS, де alg пропущено, що є дійсним синтаксисом JWK і поширеним у реальних розгортаннях, а потім вибирають алгоритм перевірки із заголовка JWT,
Популярні запитання
CVE-2026-44699 має оцінку CVSS Н/Д/10, рівень: невідомо. Перегляньте список уражених продуктів і застосуйте патчі виробника.
CVSS (Common Vulnerability Scoring System) оцінює критичність вразливостей від 0.0 до 10.0. CVE-2026-44699 має оцінку Н/Д/10 (невідомо). 9.0–10.0 — Критична, 7.0–8.9 — Висока, 4.0–6.9 — Середня, нижче 4.0 — Низька.
Список пристроїв, підтверджено уражених CVE-2026-44699, наведено у розділі "Уражені пристрої" вище. Перевірте версію прошивки в офіційному бюлетені безпеки виробника та встановіть останній патч.
Встановіть останнє оновлення прошивки або програмного забезпечення від виробника. Перегляньте розділ "Посилання" вище для офіційних рекомендацій та приміток до патча. Якщо патч відсутній — розгляньте вимкнення ураженої функції або ізоляцію пристрою від ненадійних мереж.