Auth0身份验证平台中发现身份验证绕过漏洞

最大的网络身份验证平台Auth0中发现了一个严重身份验证绕过漏洞,该漏洞可能允许恶意攻击者访问任何使用Auth0服务进行身份验证的门户或应用程序。

Auth0为许多平台提供基于令牌的身份验证解决方案,包括将社交媒体身份验证集成到应用程序中的能力。

拥有超过2000家企业客户,每天管理4200万登录信息和每月数十亿次登录,Auth0是最大的身份平台之一。

2017年9月,安全公司Cinta Infinita的研究人员在验证应用程序时发现Auth0的Legacy Lock API中存在一个漏洞(CVE-2018-6873),该漏洞由于对JSON Web Tokens(JWT)受众参数的不正确验证而存在。

研究人员成功利用此问题绕过Auth0身份验证运行的应用程序使用简单的跨站点请求伪造(CSRF / XSRF)攻击绕过登录身份验证。

Auth0的CSRF漏洞(CVE-2018-6874)允许攻击者重新使用为单独帐户生成的有效签名JWT访问目标受害者的帐户。

为此,攻击者需要的是受害者的用户ID或电子邮件地址,可以使用简单的社会工程技巧获得。

据研究人员称,这种攻击对于许多组织来说是可重现的,“只要我们知道JWT的预期领域和价值,在我们看到的大多数案例中就没有必要进行社会工程了。地址或用于用户标识的递增整数将被平分绕过。

该安全公司在2017年10月报告了Auth0安全小组的漏洞。该公司行事非常迅速,并在不到4个小时内解决了这一弱点。

但是,由于脆弱的SDK和支持的Auth0库已经在客户端实现,所以Auth0在公开披露此问题之前花费了近6个月的时间联系每位客户并帮助他们修复此漏洞。

“与Cinta Infinita发现的特殊案例的修复不同,这个问题不能在不强迫我们的客户升级库/ SDK的情况下完成,这是一项更重要的任务,”Auth0团队在其咨询中表示。

该公司通过大量重写受影响的库并发布其新版本的SDK(auth0.js 9和Lock 11)来减轻漏洞。

Cinta Infinita在公开披露漏洞之前还等了六个月,Auth0团队也有足够的时间更新所有私有SaaS设备(内部部署)。

该安全公司现已发布了概念验证(PoC)视频,演示了如何通过伪造身份验证令牌登录到Auth0的管理仪表板时获得受害者的用户ID并绕过密码验证。

原文:https://thehackernews.com/2018/04/auth0-authentication-bypass.html

上一篇:伊朗和俄罗斯网络使用思科的CVE-2018-0171漏洞进行攻击

下一篇:2018 C3安全峰会即将开启 全球顶级大咖尽展巅峰绝技