JSON Web Token の Scala 実装である jwt-scala には、トークンの署名検証が回避される脆弱性が存在します。 jwt-scala は、JSON Web Token (JWT) を扱うための Scala 実装です。jwt-scala には、JWT のヘッダの処理に起因する、トークンの署名を適切に検証しない脆弱性 (CWE-287) が存在します。 この脆弱性情報は、下記の方が JPCERT/CC と開発者に報告し、開発者との調整を経て JVN 公表に至りました。 報告者: 株式会社リクルートテクノロジーズ　RECRUIT RED TEAM　杉山 俊春 氏

[最新のソースコードを使用する] github リポジトリでは 2017年9月11日時点で本脆弱性の修正が行われています。 本脆弱性の修正 https://github.com/reallylabs/jwt-scala/commit/093a9891471608623c715abd08ab0c237489b05a [ワークアラウンドを実施する] JWT ヘッダ内の alg フィールドの値が適切な値であることを確認してください。