CVE-2021-27582

Versões do MITREid Connect até a 1.3.3

A implementação do servidor OpenID Connect para o MITREid Connect contém uma vulnerabilidade de atribuição em massa, também conhecida como “autobinding”. Esse problema surge devido ao uso inseguro da anotação @ModelAttribute durante o fluxo de autorização OAuth. Como resultado, os parâmetros de solicitação HTTP podem afetar um authorizationRequest.

Para versões até a 1.3.3, considere desativar o OAuthConfirmationController até que um patch esteja disponível para impedir a exploração da vulnerabilidade de atribuição em massa. Restrinja o acesso ao org/mitre/oauth2/web/OAuthConfirmationController.java para minimizar o risco de exploração. Evite usar a anotação @ModelAttribute no fluxo de autorização OAuth afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.