一、漏洞简介¶

1.1 漏洞背景¶

Apache APISIX 的 jwt-auth 插件用于 JWT 令牌认证。该插件依赖 lua-resty-jwt 库进行 JWT 验证。在令牌验证失败时,错误消息中会包含敏感的密钥信息,导致 JWT 签名密钥泄露。攻击者获取密钥后可伪造任意用户的 JWT 令牌。

1.2 漏洞概述（包含 CVE 编号、危害等级、漏洞类型、披露时间等）¶

项目	内容
漏洞编号	CVE-2022-29266
危害等级	HIGH / 7.5
漏洞类型	JWT 密钥泄露
披露时间	2022-04-20
影响组件	Apache APISIX

CVE编号: CVE-2022-29266
危害等级: 中危 (Medium)
CVSS评分: 6.5 (Medium)
CWE分类: CWE-209 (Generation of Error Message Containing Sensitive Information)
漏洞类型: 敏感信息泄露
影响组件: jwt-auth

补充核验信息：公开时间：2022-04-20；NVD 评分：7.5（HIGH）；CWE：CWE-209。

二、影响范围¶

2.1 受影响的版本¶

< 2.13.1
上述范围来自 NVD 配置项；具体分支与发行版适配关系仍应以厂商公告为准。

2.2 不受影响的版本¶

2.13.1 及其后续修复分支
若存在长期维护分支，请以官方安全公告或发布说明中的修复版本为准。

2.3 触发条件（如特定模块、特定配置、特定运行环境等）¶

需要存在可被远程或本地触达的相关接口、服务、插件或默认配置条件；原文与公开资料未给出更精确的统一触发条件。

三、漏洞详情与原理解析¶

3.1 漏洞触发机制¶

原文已给出漏洞利用链路时已保留；若官方未公开更细粒度说明，本文不对触发细节作额外推演。

3.2 源码层面的根因分析（结合源码与补丁对比）¶

公开补丁或官方公告显示该问题已在后续版本中修复，但当前公开资料未必都提供逐函数级补丁差异。撰写时优先引用官方公告、发布说明或补丁链接；若缺少可验证源码上下文，本文不对未公开实现细节作推测。

四、漏洞复现（可选）¶

4.1 环境搭建¶

暂无公开可验证复现信息。

4.2 PoC 演示与测试过程¶