CVE-2020-15222

Versões do ORY Fosite anteriores à 0.31.0

A exclusividade do valor jti não é verificada ao usar a autenticação “private key jwt”. De acordo com a especificação OpenId, a asserção jti deve ser única para impedir a reutilização do token. No entanto, o Hydra parece não verificar a exclusividade desse valor jti, permitindo que o token seja reutilizado.

Para versões anteriores à 0.31.0, atualize para a versão 0.31.0 para corrigir o problema.

Como solução alternativa temporária, considere desativar o uso do método de autenticação “private key jwt” até que um patch esteja disponível.

Restrinja o acesso a clientes que utilizam “private key jwt” para minimizar o risco de exploração.