SuperTokens Coreに認証を回避される脆弱性、APIキーなしでロールを操作されるおそれ
Summary
SuperTokens Coreには、未知のテナントパスを使うことでAPIキーとパブリックテナントの制限を回避され、アプリケーションのロールを作成・列挙されるおそれのある脆弱性があります。影響を受けるのは12.0.6から12.0.8未満、11.4.0から11.4.6未満、11.3.0から11.3.6未満、および11.3.0より前のバージョンです。11.3.6、11.4.6、12.0.8の修正版で対応できます。公表されたばかりのため、悪用の有無など最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
SuperTokens Coreには、未知のテナントパスを使うことでAPIキーとパブリックテナントの制限を回避され、アプリケーションのロールを作成・列挙されるおそれのある脆弱性があります。影響を受けるのは12.0.6から12.0.8未満、11.4.0から11.4.6未満、11.3.0から11.3.6未満、および11.3.0より前のバージョンです。11.3.6、11.4.6、12.0.8の修正版で対応できます。公表されたばかりのため、悪用の有無など最新の情報を確認してください。
Original description The description as published by the source.
SuperTokens Core is an open source authentication server. Prior to 11.3.6, 11.4.6, and 12.0.8, app-specific management requests using an unknown tenant path and an older supported cdi-version can bypass API-key and public-tenant enforcement. In src/main/java/io/supertokens/webserver/WebserverAPI.java, checkIPAccess and assertThatAPIKeyCheckPasses suppress TenantOrAppNotFoundException, while the later app-specific handler resolves app/public storage and the public-tenant guard applies only to CDI versions 5.0 and later. An unauthenticated caller able to reach the Core endpoint can therefore use PUT /ghosttenant/recipe/role and GET /ghosttenant/recipe/roles to create and enumerate application roles without a valid API key. This issue is fixed in versions 11.3.6, 11.4.6, and 12.0.8.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- patch github.com
- patch github.com
- web github.com
- web github.com
- web github.com