Parse Serverの独自認証が素通り、修正版あり
Summary
Parse Serverで、AuthAdapterを継承した独自の認証アダプターを使っていると、本来の検証処理が呼ばれず、どんな認証情報でも受け入れてしまう弱点が見つかりました。該当するのは独自の認証アダプターを組み込んだ環境で、8.6.102 より前の版と、9.0.0 以降 9.10.5-alpha.2 より前の版が対象です。修正版へ更新するとともに、自社のアプリが独自アダプターを使っているかを早めに確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Parse Serverで、AuthAdapterを継承した独自の認証アダプターを使っていると、本来の検証処理が呼ばれず、どんな認証情報でも受け入れてしまう弱点が見つかりました。該当するのは独自の認証アダプターを組み込んだ環境で、8.6.102 より前の版と、9.0.0 以降 9.10.5-alpha.2 より前の版が対象です。修正版へ更新するとともに、自社のアプリが独自アダプターを使っているかを早めに確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| parse-community | parse-server |
< 8.6.102 |
8.6.102 |
Original description The description as published by the source.
Parse Server before 8.6.102 and 9.0.0 before 9.10.5-alpha.2 contains an authentication bypass because the validateSetUp, validateLogin, and validateUpdate methods of custom adapters subclassing AuthAdapter are never called, and an inherited default that accepts any authData is used instead. Attackers can supply arbitrary authData to sign up, link identities, log in as existing users, or skip custom additional authentication factors.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory nvd.nist.gov
- advisory github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com