Yangiliklar 2 daqiqa o‘qish

AUTH0 PLATFORMASI AVTENTIKATSIYANI BAYPASS ZAIFLIGIGA EGA

AUTH0 PLATFORMASI AVTENTIKATSIYANI BAYPASS ZAIFLIGIGA EGA

AUTH0 PLATFORMASI AVTENTIKATSIYANI BAYPASS ZAIFLIGIGA EGA

Zaiflikdan muvaffaqiyatli foydalanish uchun tajovuzkorga faqat jabrlanuvchining foydalanuvchi identifikatori yoki elektron pochta manzili kerak bo’ladi.

Eng yirik foydalanuvchi identifikatsiya platformalaridan biri bo’lgan Auth0 da xavfli autentifikatsiyani chetlab o’tish zaifligi aniqlandi, bu tajovuzkorga xizmatdan foydalangan holda istalgan portal yoki dasturga kirish imkonini beradi.

Cinta Infinita xavfsizlik tadqiqotchilari ilgari Auth0 API Legacy Lock’da JSON Web Tokens (JWT) parametrlarining noto‘g‘ri tekshirilishi tufayli mavjud bo‘lgan CVE-2018-6873 zaifligini aniqlagan edilar.

Исследователи успешно проэксплуатировали данную проблему, и обошли аутентификацию входа в систему с помощью уязвимости CVE-2018-6874, позволяющей осуществить межсайтовую подделку запроса (CSRF/XSRF) в приложениях, использующих Auth0. Проэксплуатировав CVE-2018-6874, злоумышленник может повторно использовать действительный подписанный токен JWT, сгенерированный для сторонней учетной записи, для получения доступа к аккаунту жертвы.

Hujumchiga faqat jabrlanuvchining foydalanuvchi identifikatori yoki elektron pochta manzili kerak bo’ladi, uni ijtimoiy muhandislik texnikasi yordamida olish mumkin.

Tadqiqotchilar Auth0 xavfsizlik guruhiga zaiflik haqida xabar berishdi va u to’rt soat ichida tuzatildi. Zaif SDKlar va qo’llab-quvvatlanadigan Auth0 kutubxonalari mijoz tomonidan amalga oshirilganligi sababli, barchaga xabar berish uchun deyarli olti oy kerak bo’ldi.

Kompaniya zaif kutubxonalarni sezilarli darajada qayta ishlash va yangi SDK versiyalarini (auth0.js 9 va Lock 11) chiqarish orqali zaifliklarni tuzatdi.

Hujumni namoyish etuvchi video:

https://youtu.be/9E7kfdGN1eY

 

Auth0 – bu ijtimoiy media autentifikatsiyasini integratsiya qilish imkoniyatini o’z ichiga olgan bir qator platformalar uchun token asosidagi autentifikatsiya yechimi. Auth0 – 2000 dan ortiq korporativ mijozlarga ega eng yirik identifikatsiya platformalaridan biri.

O‘xshash maqolalar