fast-jwt: clockTolerance = Infinity omzeilt exp/nbf en blijft in verifier-cache (CVE-2026-107721)

Wat er is gebeurd

De verifier van fast-jwt accepteerde Infinity voor de optie clockTolerance omdat de validatie alleen controleerde op type en negativiteit en niet op finiteit. Met een oneindige clockTolerance slagen de datumcontroles voor exp en nbf altijd, waardoor tokens die verlopen zijn of nog niet geldig zouden moeten zijn, worden geaccepteerd. Verifier-cachevermeldingen die met die oneindige grenzen zijn aangemaakt, blijven geldig totdat ze worden verwijderd. [Bronnen: 4098, 31978]

Technische oorzaak

De optiecontrole stond Infinity toe omdat er geen finiteitscontrole plaatsvond; alleen type en of de waarde negatief was werden gecontroleerd. In validateClaimDateValue zorgen oneindige positieve of negatieve modifiers ervoor dat exp- en nbf-vergelijkingen altijd slagen. Die oneindige grenzen worden ook gebruikt bij het vullen van de verifier-cache, waardoor cache-items dezelfde foutieve controle erven. [Bronnen: 4098, 31978]

Waarom dit belangrijk is

Als exp- en nbf-validatie worden omzeild, ondermijnt dat authenticatie en autorisatie die op JWT-tokens vertrouwen. De gepubliceerde CVSS-basescore is 5.9 (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:N), wat aangeeft dat het probleem netwerktoegang kan hebben maar dat voor misbruik hoge privileges nodig zijn; de vector rapporteert hoge vertrouwelijkheid- en integriteitsimpact. De cachegedraging kan de periode verlengen waarin ongerechtigde tokens worden geaccepteerd. [Bronnen: 4098, 31978]

Wie is getroffen

Applicaties die het npm-pakket fast-jwt gebruiken en die een beheerder of een vergelijkbare configuratie-route toestaan om clockTolerance op Infinity te zetten, lopen risico. Misbruik vereist toegang tot dergelijke bevoegde configuratiemogelijkheden. [Bronnen: 4098, 31978]

Ontdekking en tijdlijn

De melding verscheen op OSV.dev op 2026-10-08T22:02:02+02:00 en is gepubliceerd in NVD als CVE-2026-107721 (publicatiedatum 2026-10-08T22:17:28+02:00). De advisering werd gewijzigd op 2026-10-09T16:17:23+02:00. [Bronnen: 4098, 31978]

Getroffen versies

Alle fast-jwt-releases van 0 tot maar exclusief 6.3.0 zijn kwetsbaar. De fout is opgelost in 6.3.0. [Bronnen: 4098]

Oplossingen en mitigatie

Er is een patch beschikbaar in 6.3.0. Werk bij naar 6.3.0 waar mogelijk. Als een onmiddellijke update niet mogelijk is, voorkom dat clockTolerance op Infinity kan worden gezet en beperk administratieve configuratieroutes. Omdat verifier-cacheitems die met Infinity zijn aangemaakt geldig blijven tot eviction, verwijder of evicteer de verifier-cache (bijvoorbeeld door verifier-processen te herstarten of via cachecontroles) om items met oneindige grenzen te verwijderen. [Bronnen: 4098, 31978]

Aanbevolen stappen

1) Werk fast-jwt bij naar 6.3.0. 2) Controleer en verwijder configuratieopties die het instellen van clockTolerance op Infinity toestaan. 3) Als je eerder Infinity toestond, evicteer of leeg de verifier-cache (bijv. herstart verifier-processen of gebruik cachemechanismen) om items met oneindige grenzen te verwijderen. 4) Test na het bijwerken dat exp/nbf-gedrag weer normaal is. [Bronnen: 4098, 31978]