Gitea OAuth Token Introspection Unauthorized Information Disclosure (CVE-2024-58425)

漏洞概述 标题: OAuth token introspection returns metadata of tokens issued to other clients (RFC 7662 section 4 violation) 描述: 漏洞类型: OAuth token introspection 返回了其他客户端颁发的令牌元数据，违反了 RFC 7662 第4节的规定。 严重程度: 4.3 / 10 CVSS v3 基础指标: - 攻击向量: 网络 - 攻击复杂度: 低 - 所需特权: 低 - 用户交互: 无 - 范围: 未改变 - 机密性: 低 - 完整性: 无 - 可用性: 无 重现步骤: 1. 设置 Gitea 1.26.1 docker 堆栈，包含两个用户（admin 和 victim）和两个由不同用户拥有的 OAuth 应用。 2. admin 使用 Client A 的凭据运行 OAuth 流程并获得访问令牌。 3. victim（通过 Client B 的凭据）调用 introspection 端点，并在请求体中包含 Client A 的访问令牌。 示例代码: 响应示例: 根因: 在 函数中，没有比较 introspecting 客户端的 ID 和 grant 的 ApplicationID。 端点会返回任何 JWT 签名有效的令牌的元数据，无论哪个客户端正在请求。 影响范围 受影响版本: Gitea <= 1.26.4 修复版本: Gitea 1.27.0 影响: - 任何经过身份验证的 OAuth 客户端都可以调用 并获取其他客户端的访问或刷新令牌的元数据。 - 可以验证令牌是否有效，即使令牌不属于当前客户端。 - 可以获取令牌的 scope、username、iss、sub 等标准 JWT 注册声明。 修复方案 建议的修复: 在 函数中添加检查，确保 introspecting 客户端的 ID 与 grant 的 ApplicationID 匹配。 示例代码: 替代方案: 在 inner app 重新分配时，使用 introspecting 客户端的 直接检查响应声明。 补丁与 PR #37704 的兼容性: 相同的文件包含两个最近加固的处理程序，在 commit 76451436e 中添加了完全相同的检查。 附件: : 完整重现脚本 : 完整会话日志 CVE ID: CVE-2024-58425 弱点: CWE-200 CWE-863 信用: 报告者: bl4cksu11

目標達成すべての支援者に感謝 — 100%達成しました！

Gitea OAuth Token Introspection Unauthorized Information Disclosure (CVE-2024-58425)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Gitea OAuth Token Introspection Unauthorized Information Disclosure (CVE-2024-58425)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！