Snipe-IT、無効化したユーザーがGoogle SSOで復帰、8.6.3で修正
Summary
資産管理ツールSnipe-ITの8.6.3より前の版には、無効化(退職や休止などで停止)したはずのユーザーがGoogle SSO経由で再びログインできてしまう欠陥があります。Google SSOを使い、ユーザー名がメールアドレス形式の環境が主な対象で、管理者権限のアカウントも復活し得ます。8.6.3へ更新し、無効化済みアカウントの状況を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
資産管理ツールSnipe-ITの8.6.3より前の版には、無効化(退職や休止などで停止)したはずのユーザーがGoogle SSO経由で再びログインできてしまう欠陥があります。Google SSOを使い、ユーザー名がメールアドレス形式の環境が主な対象で、管理者権限のアカウントも復活し得ます。8.6.3へ更新し、無効化済みアカウントの状況を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| grokability | snipe-it |
< 8.6.3 |
8.6.3 |
Original description The description as published by the source.
Snipe-IT before 8.6.3 contains an authentication bypass in GoogleAuthController::handleGoogleCallback, which logs in the user whose username matches the Google account email without enforcing the activated flag. Deactivated users with email-shaped usernames and still-live Google identities can sign in via Google SSO and regain sessions at their original permission level, including admin.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory nvd.nist.gov
- advisory github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com