Использование уязвимости кэша, содержащего конфиденциальную информацию, в проекте ash ash_authentication_oauth2_server позволяет общему HTTP-кешу передавать метаданные обнаружения OAuth одного арендатора клиентам другого арендатора. Конечные точки метаданных RFC 8414 и RFC 9728 в AshAuthentication.Phoenix.Oauth2Server.ProtocolRouter возвращают значения, специфичные для клиента (issuer,authorization_endpoint, token_endpoint, jwks_uri), когда клиент установлен, но отправляют их с помощью Cache-Control: public, max-age=3600 и без Vary. Когда арендатор получен из чего-то отличного от URL-адреса (заголовка или узла), а общий кеш находится впереди, ключом кэша является только URL-адрес, поэтому сохраненный ответ для одного арендатора передается другому в течение часа.
Затронутые клиенты могут затем отправлять коды авторизации и секреты на конечную точку токена неправильного клиента и проверять токены на неправильные ключи. Эта проблема затрагивает ash_authentication_oauth2_server: с 0.1.3 до 0.3.1.
Показать оригинальное описание (EN)
Use of Cache Containing Sensitive Information vulnerability in ash-project ash_authentication_oauth2_server allows a shared HTTP cache to serve one tenant's OAuth discovery metadata to another tenant's clients. The RFC 8414 and RFC 9728 metadata endpoints in AshAuthentication.Phoenix.Oauth2Server.ProtocolRouter return tenant-specific values (issuer, authorization_endpoint, token_endpoint, jwks_uri) when a tenant is set, but sent them with Cache-Control: public, max-age=3600 and no Vary. When the tenant is derived from something other than the URL (a header or the Host) and a shared cache sits in front, the cache key is the URL alone, so a stored response for one tenant is served to another for up to an hour. Affected clients may then send authorization codes and secrets to the wrong tenant's token endpoint and validate tokens against the wrong keys. This issue affects ash_authentication_oauth2_server: from 0.1.3 before 0.3.1.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Ash-Project Ash_Authentication_Oauth2_Server
cpe:2.3:a:ash-project:ash_authentication_oauth2_server:*:*:*:*:*:*:*:*
|
0.1.3
|
0.3.1
|