CVE-2020-15222highCWE-287

CVE-2020-15222: fallo de gravedad alta en ory fosite

Replay of private_key_jwt possible in ORY Fosite

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear fosite+ Monitorear github.com/ory/fosite

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.1epss 0.9%
En resumen

ORY Fosite no verifica si un ID de token JWT (jti) ya ha sido usado durante la autenticación con clave privada, permitiendo que atacantes reutilicen el mismo token varias veces en lugar de una sola. Esto rompe un requisito de seguridad clave que previene la reutilización de tokens de autenticación.

Detalle técnico

La vulnerabilidad existe en el flujo de autenticación de cliente private_key_jwt, donde la unicidad del claim jti (JWT ID) no es validada. Un atacante puede reproducir una aserción JWT previamente usada múltiples veces, eludiendo el requisito obligatorio de uso único definido por la especificación OpenID Connect. Las versiones anteriores a 0.31.0 fallan en mantener un registro de jti o verificarlo durante la validación.

Resumen generado y traducido por IA a partir de la descripción oficial.
In ORY Fosite (the security first OAuth2 & OpenID Connect framework for Go) before version 0.31.0, when using "private_key_jwt" authentication the uniqueness of the `jti` value is not checked. When using client authentication method "private_key_jwt", OpenId specification says the following about assertion `jti`: "A unique identifier for the token, which can be used to prevent reuse of the token. These tokens MUST only be used once, unless conditions for reuse were negotiated between the parties". Hydra does not seem to check the uniqueness of this `jti` value. This problem is fixed in version 0.31.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
Productos afectados
ory · fosite
CVEs relacionadas — ory fosite

En el mismo producto, de las más peligrosas a las menos.

CVE-2020-15223HIGHIgnored storage errors on token revokation in ORY FositeEPSS 1.6%CVE-2020-15234MEDIUMRedirect URL matching ignores character casingEPSS 0.8%CVE-2020-15233MEDIUMOAuth2 Redirect URL validity does not respect query parameters and character casing for loopback addressesEPSS 0.8%