从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. 漏洞描述： - 漏洞名称：[awslabs/aws-alb-identity-aspnetcore] Lack of JWT issuer and signer validation - 发布者：zurowskik - 发布日期：2天前 - CVSS评分：7.5 / 10 - 漏洞影响：所有受影响版本 - 已修复版本：无 2. 漏洞详情： - 描述：Amazon.ApplicationLoadBalancer.Identity.AspNetCore包中的Middleware在与Application Load Balancer (ALB) OpenId Connect集成时可以使用，并且可以在任何ASP.NET Core部署场景中使用，包括Fargate、EKS、ECS、EC2和Lambda。在JWT处理代码中，它执行签名验证，但未验证JWT的发行者和签名者身份。签名的缺失，如果与一种场景结合使用，该场景允许基础设施所有者允许互联网流量到ALB目标（不是推荐的配置），可以允许JWT由不同的负载均衡器签名，攻击者可能能够模仿有效的OIDC认证会话到ALB目标。 - 影响：攻击者可能能够模仿有效的OIDC认证会话到ALB目标，使用由不同负载均衡器签名的JWT。 - 补丁：该仓库/包已被废弃，已达到生命结束，并且不再被积极支持。 - 工作原理：确保您的ELB目标（例如EC2实例、Fargate任务等）没有公共IP地址。 - 验证：确保任何fork或衍生代码验证JWT签名者属性是否与服务配置的ALB ARN匹配。 3. 参考资料： - ALB文档中提到：“为了确保安全，您必须在基于声明的授权之前验证签名，并验证JWT头中的签名者字段是否包含预期的ALB ARN。” - Python示例 4. 联系信息： - 如果有任何问题或评论，请通过AWS/Amazon Security的报告页面或直接通过电子邮件联系：aws-security@amazon.com。请不要创建公共GitHub问题。 这些信息提供了关于漏洞的详细描述、影响、补救措施和参考资料，以及联系信息。