Podatności Python Social Auth

Python Social Auth to mechanizm uwierzytelniania i rejestracji społecznościowej. Przed wersją 6.2.0 OpenIdConnectAuth w social_core/backends/open_id_connect.py umieszcza nonce OpenID Connect w współdzielonej tabeli OpenIdConnectAssociation, a get_nonce i validate_claims sprawdzają tylko, czy nonce istnieje i nie wygasł, bez powiązania go z sesją przeglądarki i stanem OAuth. Atakujący, który uzyska nieużyty kod autoryzacyjny ofiary, może rozpocząć osobne logowanie, aby uzyskać ważny stan dla swojej przeglądarki, przesłać kod ofiary z tym stanem i przejść walidację nonce, ponieważ nonce ofiary jest globalnie dostępny. Przy wyłączonym DEFAULT_USE_PKCE atakujący może zostać zalogowany jako ofiara.

Python Social Auth to mechanizm uwierzytelniania i rejestracji społecznościowej. W wersjach przed 5.0.2 backend LINE wymienia kod autoryzacyjny bez walidacji zwróconego stanu OAuth. Atakujący może rozpocząć autoryzację dla kontrolowanego konta LINE i nakłonić ofiarę do odwiedzenia wynikowego adresu URL callback, powodując zalogowanie ofiary na konto atakującego. Gdy włączone jest łączenie kont, ta sama luka może trwale powiązać tożsamość LINE atakującego z istniejącym kontem ofiary.

W bibliotece Python Social Auth w wersjach przed 5.0.0 mechanizm wznawiania częściowego potoku akceptował partial_token jako poświadczenie bez powiązania go z sesją przeglądarki, która go utworzyła. Aplikacje używające wznawialnych kroków częściowego potoku mogły pozwolić atakującemu na rozpoczęcie przepływu uwierzytelniania i zmuszenie przeglądarki ofiary do jego wznowienia.

Python Social Auth przed wersją 5.0.0 w backendzie vk-app akceptuje dane zwrotne z aplikacji VK bez weryfikacji podpisu, gdy parametr auth_key jest pominięty. Atakujący może wysłać niepodpisane dane kontrolowane przez siebie i zostać uwierzytelnionym jako dowolny użytkownik VK. Problem dotyczy tylko aplikacji używających backendu vk-app. Poprawka w wersji 5.0.0 wymaga obecności i poprawności auth_key.

W bibliotece Python Social Auth w wersjach przed 5.0.0 backend LoginRadius nie weryfikował parametru OAuth state podczas przepływu uwierzytelniania. Aplikacje korzystające z tego backendu były podatne na login CSRF, a atakujący mógł spowodować uwierzytelnienie przeglądarki ofiary przy użyciu kontrolowanego przez siebie tokenu LoginRadius.

W bibliotece Python Social Auth w wersjach przed 5.0.0 backend Vend OAuth2 używał wyłącznie numerycznego identyfikatora user_id jako UID w social-auth. Gdy wiele sklepów Vend uwierzytelnia się przez tę samą aplikację, użytkownicy z różnych sklepów o tym samym wewnętrznym identyfikatorze mogli kolidować w tabeli powiązań social-auth.

W bibliotece Python Social Auth w wersjach przed 5.0.0 backend SAML akceptował odpowiedzi SAML na punkcie Assertion Consumer Service bez sprawdzenia, czy odpowiadają wcześniej wysłanemu AuthnRequest. Aplikacje używające powiązania kont SAML mogły pozwolić atakującemu z ważnym kontem u zaufanego dostawcy tożsamości na powiązanie swojej tożsamości SAML z lokalnym kontem zalogowanej ofiary.

Python Social Auth to mechanizm uwierzytelniania i rejestracji społecznościowej. W wersjach przed 5.6.0 użytkownik mógł zostać powiązany przez e-mail nawet bez potoku associate_by_email, co może prowadzić do przejęcia konta, gdy zewnętrzna usługa uwierzytelniania nie weryfikuje adresów e-mail lub nie wymaga ich unikalności. Wersja 5.6.0 zawiera poprawkę.