PT-2025-9529
CVE-2025-27370
·
تاريخ النشر
2025-03-03
·
تاريخ التحديث
2025-03-07
الوصف من
CVSS 3.1
6.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:C/C:L/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenID Connect Core السابقة للإصدار 1.0، مجموعة التصويبات 3
الوصف
تسمح هذه المشكلة بإدخال قيمة ”audience“ في حالات معينة عند استخدام آلية المصادقة private key jwt. يمكن لخادم الترخيص الخبيث خداع العميل لحملته على كتابة قيم يسيطر عليها المهاجم في حقل ”audience“، بما في ذلك نقاط نهاية الرموز المميزة أو معرّفات المُصدر الخاصة بخوادم ترخيص أخرى. وبعد ذلك، يمكن لخادم التفويض الخبيث استخدام رموز JWT ذات المفتاح الخاص هذه لانتحال هوية العميل.
التوصيات
بالنسبة لإصدارات OpenID Connect Core السابقة للإصدار 1.0، مجموعة التصويبات 3، يُنصح بالتحديث إلى الإصدار 1.0، مجموعة التصويبات 3 أو أحدث لحل المشكلة. كحل مؤقت، قم بتقييد استخدام آلية المصادقة private key jwt لتقليل مخاطر الاستغلال إلى أدنى حد.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾