CVE-2020-15222highCWE-287

CVE-2020-15222: falha de alta gravidade em ory fosite

Replay of private_key_jwt possible in ORY Fosite

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar fosite+ Monitorar github.com/ory/fosite

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.1epss 0.9%
Em resumo

ORY Fosite não verifica se um ID de token JWT (jti) já foi usado durante autenticação com chave privada, permitindo que invasores reutilizem o mesmo token várias vezes em vez de apenas uma. Isso quebra um requisito crítico de segurança que impede reutilização de tokens de autenticação.

Detalhe técnico

A vulnerabilidade existe no fluxo de autenticação de cliente private_key_jwt, onde a exclusividade da claim jti (JWT ID) não é validada. Um invasor pode fazer replay de uma asserção JWT já usada múltiplas vezes, contornando o requisito obrigatório de uso único definido pela especificação OpenID Connect. Versões anteriores à 0.31.0 falham em manter um registro de jti ou verificá-lo durante validação.

Resumo gerado e traduzido por IA a partir da descrição oficial.
In ORY Fosite (the security first OAuth2 & OpenID Connect framework for Go) before version 0.31.0, when using "private_key_jwt" authentication the uniqueness of the `jti` value is not checked. When using client authentication method "private_key_jwt", OpenId specification says the following about assertion `jti`: "A unique identifier for the token, which can be used to prevent reuse of the token. These tokens MUST only be used once, unless conditions for reuse were negotiated between the parties". Hydra does not seem to check the uniqueness of this `jti` value. This problem is fixed in version 0.31.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
Produtos afetados
ory · fosite
CVEs relacionadas — ory fosite

No mesmo produto, das mais perigosas para as menos.

CVE-2020-15223HIGHIgnored storage errors on token revokation in ORY FositeEPSS 1.6%CVE-2020-15234MEDIUMRedirect URL matching ignores character casingEPSS 0.8%CVE-2020-15233MEDIUMOAuth2 Redirect URL validity does not respect query parameters and character casing for loopback addressesEPSS 0.8%