В DefaultEncryptingOAuthDataProvider Apache CXF отозванные токены доступа по-прежнему успешно расшифровываются, а TokenIntrospectionService сообщает active:true. То же самое относится и к токенам обновления. Это нарушает положения RFC, согласно которым «Сервер авторизации ДОЛЖЕН аннулировать токен недействительным». и «интроспекция отозванного токена ДОЛЖНА возвращать {"active":false}».
Пользователям рекомендуется выполнить обновление до версий 4.2.3, 4.1.8 или 3.6.12, которые устраняют эту проблему.
Показать оригинальное описание (EN)
In Apache CXF's DefaultEncryptingOAuthDataProvider, revoked access tokens still decrypt successfully, and TokenIntrospectionService reports active:true. The same applies to refresh tokens. This violates the RFC stipulations that 'The authorization server MUST invalidate the token.' and 'introspection of a revoked token MUST return {"active":false}'. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 3
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Apache Cxf
cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*
|
— |
3.6.12
|
|
Apache Cxf
cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*
|
4.0.0
|
4.1.8
|
|
Apache Cxf
cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*
|
4.2.0
|
4.2.3
|