PT-2024-19292 · Spring · Spring Authorization Server
Pieter Philippaerts
·
Publicado
2024-03-19
·
Atualizado
2024-12-05
·
CVE-2024-22258
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Spring Authorization Server, versões 1.0.0 a 1.0.5
Spring Authorization Server, versões 1.1.0 a 1.1.5
Versões 1.2.0 a 1.2.2 do Spring Authorization Server
Versões mais antigas e sem suporte do Spring Authorization Server
Descrição
A vulnerabilidade diz respeito a um ataque de downgrade PKCE para clientes confidenciais. Um aplicativo fica vulnerável quando um cliente confidencial usa PKCE para a concessão do código de autorização. No entanto, um aplicativo não fica vulnerável quando um cliente público usa PKCE para a concessão do código de autorização.
Recomendações
Para as versões 1.0.0 a 1.0.5 do Spring Authorization Server, considere desativar o uso de PKCE para a concessão de código de autorização por clientes confidenciais até que uma correção esteja disponível.
Para as versões 1.1.0 a 1.1.5 do Spring Authorization Server, considere desativar o uso de PKCE para a concessão de código de autorização por clientes confidenciais até que uma correção esteja disponível.
Para as versões 1.2.0 a 1.2.2 do Spring Authorization Server, considere desativar o uso de PKCE para a concessão de código de autorização por clientes confidenciais até que um patch esteja disponível.
Para versões mais antigas e sem suporte do Spring Authorization Server, considere atualizar para uma versão com suporte e, em seguida, desativar o uso de PKCE para a concessão de código de autorização por clientes confidenciais até que um patch esteja disponível.
Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Spring Authorization Server