CVE-2024-41948

biscuit-java vulnerable to public key confusion in third party block

CVSS 3 LOWEPSS 0.3%CWE-1259

Em resumo

Uma falha no biscuit-java permite que um usuário malicioso crie uma requisição de bloco de terceira parte falsificada que engana a autoridade a confiar na chave criptográfica errada. Isso pode levar à validação não autorizada de tokens se o atacante conseguir fazer a autoridade assinar um bloco com associações de chave incorretas.

Detalhe técnico

A vulnerabilidade existe na geração de blocos de terceira parte, onde uma requisição ThirdPartyBlock construída maliciosamente pode causar confusão entre a chave pública do bloco anterior e as chaves da tabela de símbolos do token. Um atacante pode enviar uma requisição maliciosa com chaves públicas não correspondentes, levando a autoridade de terceira parte a gerar e assinar um bloco com relações de confiança de chave incorretas nas regras datalog.

Resumo gerado e traduzido por IA a partir da descrição oficial.

biscuit-java is the java implementation of Biscuit, an authentication and authorization token for microservices architectures. Third-party blocks can be generated without transferring the whole token to the third-party authority. Instead, a ThirdPartyBlock request can be sent, providing only the necessary info to generate a third-party block and to sign it, which includes the public key of the previous block (used in the signature) and the public keys part of the token symbol table (for public key interning in datalog expressions). A third-part block request forged by a malicious user can trick the third-party authority into generating datalog trusting the wrong keypair. This vulnerability is fixed in 4.0.0.

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:N/I:L/A:N

Produtos afetados

biscuit-auth · biscuit-java

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

https://github.com/biscuit-auth/biscuit-java/security/advisories/GHSA-5hcj-rwm6-xmw4