> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> CVE-2019-7644: ASP.NET 向け Auth0-WCF-Service-JWT のセキュリティ脆弱性

# CVE-2019-7644: Auth0-WCF-Service-JWT のセキュリティ脆弱性

**公開日**: 2019年2月15日

**CVE 番号**: CVE-2019-7644

**謝辞**: DevilSec AB のセキュリティ研究者である Conny Dahlgren

<div id="overview">
  ## 概要
</div>

1.0.4 未満のすべての [Auth0-WCF-Service-JWT](https://www.nuget.org/packages/Auth0-WCF-Service-JWT/) NuGet パッケージのバージョンでは、JWT 署名の検証に失敗した際に出力される次のエラーメッセージに、想定される <Tooltip tip="JSON Web Token（JWT）: 2者間でクレームを安全に表現するために使用される標準のIDトークン形式（多くの場合、アクセストークン形式としても使用されます）。" cta="用語集を見る" href="/ja/docs/glossary?term=JWT">JWT</Tooltip> 署名に関する機密情報が含まれています。

`Invalid signature. Expected 8Qh5lJ5gSaQylkSdaCIDBoOqKzhoJ0Nutkkap8RgB1Y= got 8Qh5lJ5gSaQylkSdaCIDBoOqKzhoJ0Nutkkap8RgBOo=`

この脆弱性により、攻撃者はこのエラーメッセージを利用して、任意の JWT トークンに対する有効な署名を取得できます。これにより、攻撃者はトークンを偽造し、認証および認可のメカニズムを回避できます。

<div id="am-i-affected">
  ## 影響を受けるかどうか
</div>

次の条件に該当する場合、この脆弱性の影響を受けます。

* [Auth0-WCF-Service-JWT](https://www.nuget.org/packages/Auth0-WCF-Service-JWT/) NuGet パッケージのバージョンが 1.0.4 未満である
* 署名検証の例外メッセージをユーザーインターフェイスに表示している、または別の方法で攻撃者が参照できる状態になっている (たとえば、ログや診断メッセージを通じて)

<div id="how-to-fix-that">
  ## これを修正するにはどうすればよいですか？
</div>

[Auth0-WCF-Service-JWT](https://www.nuget.org/packages/Auth0-WCF-Service-JWT/) ライブラリを使用している開発者は、最新バージョン 1.0.4 にアップグレードする必要があります。

更新版のパッケージは [NuGet](https://www.nuget.org) で入手できます: `Install-Package Auth0-WCF-Service-JWT -Version 1.0.4`

<div id="will-this-update-impact-my-users">
  ### この更新はユーザーに影響しますか？
</div>

いいえ。この修正はアプリケーションで実行されるライブラリに対するパッチですが、ユーザーやその現在の state、既存のセッションに影響はありません。