pac4j-oidc before 6.5.6 fails to verify access token signatures, issuers, audiences, or expiry...
概要
pac4j-oidc before 6.5.6 fails to verify access token signatures, issuers, audiences, or expiry...
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
pac4j-oidc before 6.5.6 fails to verify access token signatures, issuers, audiences, or expiry when extracting Keycloak realm and client roles. Attackers can forge access tokens with administrative roles paired with valid ID tokens to bypass authorization checks in applications relying on pac4j role validation.
出典: NIST National Vulnerability Database NVD GitHub Advisory
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
pac4j-oidc 6.5.6以前のバージョンには、Keycloakのレルムとクライアントロールを抽出する際に、アクセス・トークンの署名、発行元、オーディエンス、または有効期限を検証しないという欠陥があります。この欠陥により、攻撃者は管理者権限を持つアクセス・トークンを偽造し、pac4jのロール検証に依存するアプリケーションの認可チェックを回避することが可能です。
pac4j-oidcの一部でトークンの検証が不完全
pac4j-oidc 6.5.5以前
不正なアクセス・トークンによる認可回避が可能
バージョン6.5.6以上にアップデートしてください。
情報なし
トークン検証の不備をコードレビューで確認する