CVE-2019-12419

Apache CXF: błędna walidacja clientId w usługach OpenID Connect

CVSS 9.8v3.1pub. 2019-11-06upd. 2024-11-21

Apache CXF przed wersjami 3.3.4 i 3.2.11 nie weryfikuje, czy uwierzytelniony podmiot odpowiada parametrowi clientId przekazanemu w żądaniu do usługi access token. Błąd ten umożliwia przejęcie tokenu dostępu innego klienta przez podmiot, który wszedł w posiadanie jego kodu autoryzacyjnego.

▸ Pokaż oryginał (EN)

Apache CXF before 3.3.4 and 3.2.11 provides all of the components that are required to build a fully fledged OpenId Connect service. There is a vulnerability in the access token services, where it does not validate that the authenticated principal is equal to that of the supplied clientId parameter in the request. If a malicious client was able to somehow steal an authorization code issued to another client, then they could exploit this vulnerability to obtain an access token for the other client.

🤖 Analiza AI

Jak działa

Podatność dotyczy implementacji usług OpenID Connect w Apache CXF. Podczas wymiany kodu autoryzacyjnego na token dostępu serwer nie sprawdza, czy uwierzytelniony klient rzeczywiście jest właścicielem podanego parametru clientId. W efekcie złośliwy klient, który w jakikolwiek sposób przechwycił kod autoryzacyjny wydany dla innego klienta, może przesłać żądanie z cudzym clientId i uzyskać ważny token dostępu należący do ofiary.

Skutki

Atakujący może uzyskać token dostępu wystawiony dla innego klienta OAuth/OpenID Connect, co prowadzi do nieuprawnionego dostępu do zasobów i danych chronionych tym tokenem — naruszając poufność, integralność i dostępność systemu.

Mitygacja

Należy zaktualizować Apache CXF do wersji 3.3.4 lub 3.2.11 albo nowszej. Użytkownicy produktów Oracle powinni zastosować patche dostępne u producenta zgodnie z referencjami.

Kogo dotyczy

Apache CXF w wersjach wcześniejszych niż 3.3.4 i 3.2.11; podatne są również Oracle Commerce Guided Search, Oracle Enterprise Manager Base Platform oraz Oracle Flexcube Private Banking (konkretne wersje wskazane w referencjach producenta).