中危 next-auth 容易受到可能绕过基本身份验证的用户模拟的影响 (CVE-2023-48309)
CVE编号
CVE-2023-48309利用情况
暂无补丁情况
官方补丁披露时间
2023-11-21漏洞描述
NextAuth.js为Next.js提供身份验证。版本4.24.5之前的`next-auth`应用程序依赖默认的中间件授权，存在漏洞。恶意操作者可以通过获取中断的OAuth登录流程（state、PKCE或nonce）中由NextAuth.js发行的JWT来创建空的/模拟用户。通过手动覆盖`next-auth.session-token` cookie值，使用与之不相关的JWT，用户可以模拟已登录用户的状态，尽管与之关联的用户信息为空（该用户唯一属性为不透明的随机生成的字符串）。此漏洞不会访问其他用户数据，也不会访问需要通过作用域或其他手段进行适当授权的资源。创建的模拟用户没有任何关联信息（如名称、电子邮件、访问令牌等）。恶意操作者可以利用此漏洞查看已登录用户的状态（例如仪表板布局）。`next-auth`的`v4.24.5`包含了对该漏洞的修补程序。作为一种解决方法，开发人员可以使用自定义授权回调来手动执行基本身份验证。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | nextauth.js | next-auth | * | Up to (excluding) 4.24.5 | |||||
- 攻击路径 本地
- 攻击复杂度 困难
- 权限要求 管控权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论