> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> CVE-2018-11537: angular-jwt の許可リストバイパスに関するセキュリティ更新

# CVE-2018-11537: angular-jwt の許可リストバイパスに関するセキュリティ更新

**公開日**: 2018年6月5日

**CVE番号**: CVE-2018-11537

**謝辞**: Stephan Hauser

<div id="overview">
  ## 概要
</div>

[ドメインの許可リスト登録](https://github.com/auth0/angular-jwt#whitelisting-domains)機能はバイパスされる可能性があります。たとえば、設定が次のように初期化されている場合です。

`jwtInterceptorProvider.whiteListedDomains = ['whitelisted.Example.com'];`

攻撃者は `whitelistedXexample.com` というドメインを用意することで、許可リストのフィルターを通過できます。根本原因は、`angular-jwt` が `whiteListedDomains` の各エントリーを常に正規表現として扱うため、`.` の区切り文字が任意の文字に一致してしまうことです。

<div id="am-i-affected">
  ## 影響を受けますか？
</div>

次のいずれかに該当する場合、この脆弱性の影響を受けます。

* angular-<Tooltip tip="JSON Web Token（JWT）: 2者間でクレームを安全に表現するために使用される標準のIDトークン形式（多くの場合、アクセストークン形式としても使用）です。" cta="用語集を見る" href="/ja/docs/glossary?term=jwt">jwt</Tooltip> のバージョンが `0.1.10` 未満である
* コードでドメインの許可リストを使用している

<div id="how-to-fix-that">
  ## この問題を修正するには？
</div>

angular-jwt ライブラリを使用している開発者は、最新バージョン `0.1.10` にアップグレードする必要があります。

更新済みパッケージは [NPM](https://npmjs.com) から利用できます: `npm install angular-jwt@0.1.10`

今後セキュリティ更新を適用しやすくするため、`package.json` ファイルを更新して、弊社ライブラリのパッチおよびマイナーバージョンの更新を取り込めるようにしてください:

```json lines theme={null}
{
  "dependencies": {
    "angular-jwt": "^0.1.10"
  }
}
```

<div id="will-this-update-impact-my-users">
  ### この更新はユーザーに影響しますか？
</div>

いいえ。この修正はアプリケーションで実行されているライブラリに対するパッチですが、ユーザーやその現在のstate、既存のセッションには影響しません。