Podatności OAuthLib

W bibliotece OAuthLib przed wersją 4.0.0 procedury obsługi grantów client_credentials oraz Resource Owner Password Credentials mogą uwierzytelnić request.client jako jednego klienta poufnego, zachowując jednocześnie dostarczony przez atakującego request.client_id używany w validate_grant_type i validate_scopes. Klient z niższymi uprawnieniami może w ten sposób spowodować, że autoryzacja grantów i zakresów użyje tożsamości innego klienta, co może skutkować wydaniem tokenów z nieautoryzowanymi grantami lub zakresami.

W bibliotece OAuthLib wersje od 3.0.0 do 4.0.0 mechanizm PKCE porównuje wartości code_verifier z zapisanymi wyzwaniami przy użyciu zwykłego porównania ciągów znaków, co może ujawniać informacje o czasie wspólnego prefiksu. Potencjalnie umożliwia to odzyskanie code_verifier, nieautoryzowane pozyskanie tokenu dostępu i przejęcie konta, choć praktyczne wykorzystanie wymaga przechwycenia jednorazowego kodu autoryzacji i wielu pomiarów. Luka została naprawiona w wersji 4.0.0.

W bibliotece OAuthLib w wersjach od 0.6.1 do 4.0.0, gdy opcja enable_jsonp=True jest włączona, punkt końcowy RevocationEndpoint odzwierciedla niezwalidowany parametr callback w odpowiedziach sukcesu i błędów. Pozwala to na wykonanie złośliwego kodu JavaScript w kontekście aplikacji ładującej odpowiedź jako zaufany JSONP, jeśli atakujący ma wpływ na wartość callback. Luka jest domyślnie wyłączona i dotyczy tylko wdrożeń z jawnie włączonym JSONP. Naprawiono w wersji 4.0.0.