PT-2020-14289 · Ory · Ory Fosite

Publicado 2020-09-24 · Atualizado 2021-11-18 · CVE-2020-15222

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do ORY Fosite anteriores à 0.31.0

Descrição

A exclusividade do valor jti não é verificada ao usar a autenticação “private key jwt”. De acordo com a especificação OpenId, a asserção jti deve ser única para impedir a reutilização do token. No entanto, o Hydra parece não verificar a exclusividade desse valor jti, permitindo que o token seja reutilizado.

Recomendações

Para versões anteriores à 0.31.0, atualize para a versão 0.31.0 para corrigir o problema.

Como solução alternativa temporária, considere desativar o uso do método de autenticação “private key jwt” até que um patch esteja disponível.

Restrinja o acesso a clientes que utilizam “private key jwt” para minimizar o risco de exploração.

Exploit

Correção

Improper Authentication

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-287

CWE-345

Identificadores relacionados

CVE-2020-15222

GHSA-V3Q9-2P3M-7G43

GO-2021-0110

Produtos afetados

Ory Fosite

Referências · 10

• 🔥 https://github.com/ory/fosite/security/advisories/GHSA-v3q9-2p3m-7g43 · Exploit
• https://github.com/ory/fosite/commit/0c9e0f6d654913ad57c507dd9a36631e1858a3e9 · Correção
• https://github.com/ory/fosite · Nota
• https://github.com/ory/fosite/releases/tag/v0.31.0 · Nota
• https://openid.net/specs/openid-connect-core-1_0.html#ClientAuthentication · Nota
• https://osv.dev/vulnerability/CVE-2020-15222 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15222 · Nota de Segurança
• https://pkg.go.dev/vuln/GO-2021-0110 · Nota
• https://osv.dev/vulnerability/GO-2021-0110 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-v3q9-2p3m-7g43 · Aviso do Fabricante