PT-2021-24475 · Unknown · Identity-Token-Verifier
Publicado
2021-03-12
·
Atualizado
2021-03-12
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
**Nome do software vulnerável e versões afetadas:
versões do identity-token-verifier anteriores à 0.5.2
Descrição:
Uma falha de verificação na biblioteca identity-token-verifier permite que as provas de Prova de Posse (DPoP) sejam falsificadas, potencialmente dando a um invasor acesso total a um Pod alvo. As provas DPoP são usadas para vincular tokens de acesso a uma chave privada, mas a biblioteca verifica em relação a um campo que pode ser modificado por um invasor, permitindo a revinculação de um token de acesso vinculado a DPoP.
Recomendações:
Para versões anteriores à 0.5.2, atualize para a versão 0.5.2 para corrigir a falha de verificação na biblioteca identity-token-verifier.
Como solução alternativa temporária, considere restringir o acesso à função
DPoP.ts até que um patch esteja disponível.Authentication Bypass by Spoofing
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Identity-Token-Verifier