CVE-2021-26715

MITREid Connect versões 1.3.3 e anteriores

A implementação do servidor OpenID Connect contém uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) devido ao uso inseguro do parâmetro logo uri na solicitação de Registro Dinâmico de Cliente. Um invasor não autenticado pode fazer uma solicitação HTTP a partir do servidor vulnerável para qualquer endereço na rede interna e obter sua resposta, o que pode levar à violação dos limites da rede, à obtenção de dados confidenciais ou ao ataque a outros hosts na rede interna.

Para as versões 1.3.3 e anteriores, como solução temporária, considere restringir o uso do parâmetro logo uri na solicitação de Registro Dinâmico de Cliente para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.