Python · Python Oic · CVE-2020-26244
**Nome do software vulnerável e versões afetadas**
Versões do Python oic anteriores à 1.2.1
**Descrição**
A vulnerabilidade afeta implementações de clientes que utilizam a biblioteca Python oic, uma implementação do OpenID Connect em Python. Existem várias falhas criptográficas relacionadas:
1) O algoritmo de assinatura do IdToken não era verificado automaticamente, mas apenas se o algoritmo esperado fosse passado como um kwarg.
2) O algoritmo JWA `none` era permitido em todos os fluxos.
3) `oic.consumer.Consumer.parse authz` retorna um IdToken não verificado, deixando a verificação a critério do implementador.
4) A validade da reivindicação `iat` não era verificada, permitindo que ela fosse incluída posteriormente.
**Recomendações**
Para versões anteriores à 1.2.1, atualize para a versão 1.2.1 para resolver os problemas.
Como solução temporária, considere desativar o uso do algoritmo JWA `none` em todos os fluxos até que a atualização seja aplicada.
Restrinja o acesso à função `oic.consumer.Consumer.parse authz` para minimizar o risco de exploração até que a atualização seja aplicada.
Evite usar a reivindicação `iat` sem verificações de validade adequadas até que a atualização seja aplicada.