PT-2020-14290 · Ory · Ory Fosite

Jclebreton + 1 · Publicado 2020-09-24 · Atualizado 2022-10-21 · CVE-2020-15223

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do ORY Fosite anteriores à 0.34.0

Descrição

O problema decorre do tratamento inadequado de erros no TokenRevocationHandler, que ignora erros provenientes do armazenamento. Isso pode levar a códigos de status 200 inesperados, indicando revogação bem-sucedida enquanto o token ainda está válido. A capacidade de um invasor explorar essa vulnerabilidade depende da capacidade de provocar erros no armazenamento subjacente.

Recomendações

Para versões anteriores à 0.34.0, atualize para a versão 0.34.0 para resolver o problema. Como solução temporária, considere implementar mecanismos adicionais de tratamento de erros para o TokenRevocationHandler a fim de evitar códigos de status 200 inesperados. Restrinja o acesso ao endpoint de revogação de tokens para minimizar o risco de exploração até que a atualização seja aplicada.

Correção

Improper Check for Exceptional Conditions

Improper Handling of Exceptional Conditions

Enumeração de Fraquezas

CWE-754

CWE-755

Identificadores relacionados

CVE-2020-15223

GHSA-7MQR-2V3Q-V2WM

GO-2021-0109

Produtos afetados

Ory Fosite

Referências · 8

• https://github.com/ory/fosite/security/advisories/GHSA-7mqr-2v3q-v2wm · Nota
• https://github.com/ory/fosite/commit/03dd55813f5521985f7dd64277b7ba0cf1441319 · Correção
• https://osv.dev/vulnerability/GO-2021-0109 · Aviso do Fabricante
• https://tools.ietf.org/html/rfc7009#section-2.2.1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-15223 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7mqr-2v3q-v2wm · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-15223 · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2021-0109 · Nota