CVE-2026-27962: Authlib: injeção de cabeçalho JWK em JWS leva a bypass de verificação de assinatura

Visão geral

O Authlib é uma biblioteca Python para construir servidores OAuth e OpenID Connect. Segundo o registro, a CVE-2026-27962 é uma injeção de cabeçalho JWK na implementação de JWS: quando key=None é passado a uma função de desserialização JWS, a biblioteca pode obter a chave a partir do próprio cabeçalho jwk do token. O CNA GitHub descreve o resultado como contorno de verificação de assinatura, associado ao CWE-347.

Impacto

O registro descreve tokens JWT forjados que passam na verificação de assinatura, o que poderia contornar autenticação e autorização.
O CNA GitHub classifica a falha como crítica, com pontuação base CVSS de 9.1, refletindo alcance pela rede, ausência de privilégios exigidos e ausência de interação do usuário.
Os campos SSVC do registro indicam impacto técnico total e automatizável definido como sim.

Produtos e versões afetadas

Produto: Authlib (Python).
Afetados: versões antes da 1.6.9.
Corrigido: 1.6.9, segundo o registro.

O registro repete a faixa afetada em duas entradas equivalentes. Esta análise usa apenas o limite 1.6.9.

Status de exploração

O registro não lista esta CVE no catálogo KEV da CISA, portanto a exploração ativa não é confirmada aqui. O valor de exploração SSVC no registro é poc, que significa prova de conceito; isso deve ser considerado no planejamento, mas não é evidência de exploração no mundo real. Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Atualize o Authlib para a versão 1.6.9 ou posterior, conforme indicado na release e no aviso do fornecedor.
Revise o código das aplicações que chamam funções de desserialização JWS com key=None e garanta que as chaves de verificação venham de configuração confiável e controlada pelo servidor, e não de cabeçalhos do token.
Consulte o aviso do fornecedor para as mitigações provisórias recomendadas enquanto a atualização é agendada.
Se seu produto usa o Authlib indiretamente, verifique a árvore de dependências e os avisos dos fornecedores downstream.

Orientação para detecção

Revise os logs de autenticação em busca de tokens aceitos de emissores ou chaves inesperados e de atividade de tokens que não corresponde às chaves de assinatura conhecidas.
Mantenha um inventário das aplicações que usam Authlib e das versões da biblioteca.
Monitore uso incomum de privilégios após eventos de autenticação, pois um token forjado pareceria válido para o servidor.

Limitações das informações disponíveis

O registro não descreve os caminhos de código vulneráveis além do resumo e não inclui detalhes de prova de conceito.
O link do aviso no GitHub aparece marcado como referência de exploit no registro, mas seu conteúdo não foi revisado nesta análise.
Os links de errata e VEX da Red Hat constam no registro, mas não foram revisados aqui.
Se uma implantação específica é afetada depende de chamar a desserialização JWS com key=None, o que o registro não permite confirmar.

Perguntas frequentes

Esta vulnerabilidade do Authlib está sendo explorada ativamente?

O registro não lista a CVE-2026-27962 no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor de exploração SSVC é poc, que indica status de prova de conceito e não é o mesmo que exploração ativa.

O que fazer se eu usar o Authlib?

Atualize o Authlib para a versão 1.6.9 ou posterior. Revise também qualquer uso de desserialização JWS com key=None, para que as chaves de verificação venham apenas de configuração confiável no servidor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.