SecDim Challenge Builder Repro — Assurance Drift

CVE-2026-88861 से प्रेरित एक प्रस्तावित सुरक्षा चुनौती के लिए कार्यशील पुनरुत्पादन, जो 10 सितंबर 2026 को प्रकाशित हुआ।

सुरक्षा अवधारणा

एप्लिकेशन एक हस्ताक्षरित सत्र को सही ढंग से सत्यापित करता है और admin भूमिका को सही ढंग से जाँचता है, लेकिन यह दो स्वतंत्र सुरक्षा गुणों को मिला देता है: पहचान/भूमिका और प्रमाणीकरण आश्वासन। केवल पासवर्ड-आधारित aal1 सत्र एक विशेषाधिकार प्राप्त क्रेडेंशियल-निर्माण पथ को कॉल कर सकता है जिसके लिए स्टेप-अप MFA (aal2) की आवश्यकता होनी चाहिए। परिणामी ऐप-स्कोप्ड एडमिन कुंजी टिकाऊ होती है और मूल सत्र के लॉग आउट होने के बाद भी उपयोग करने योग्य रहती है।

यह प्राधिकरण सीमा पर एक यथार्थवादी MFA-बायपास विफलता को मॉडल करता है, न कि टूटे हुए हस्ताक्षर या जाली टोकन को।

कार्यशील पुनरुत्पादन

go test -v ./...

परीक्षण पूरी स्थानीय आक्रमण श्रृंखला को प्रदर्शित करते हैं:

1. एक वैध, हस्ताक्षरित केवल-पासवर्ड एडमिन सत्र (aal1) प्राप्त करें;
2. विशेषाधिकार प्राप्त API कुंजी बनाने के लिए कमजोर प्राधिकरण पथ का उपयोग करें;
3. मूल सत्र को लॉग आउट करें;
4. बनाई गई कुंजी के साथ विशेषाधिकार प्राप्त क्रियाएँ करना जारी रखें।

इसमें कोई बाहरी सेवा, क्रेडेंशियल, या उत्पादन लक्ष्य शामिल नहीं है।

इच्छित चुनौती का स्वरूप

• स्टैक: Go, केवल मानक लाइब्रेरी
• सुझाया गया कठिनाई स्तर: मध्यवर्ती / उन्नत
• प्राथमिक पाठ: MFA संवेदनशील कार्यों के लिए एक प्राधिकरण गुण है, न कि केवल एक लॉगिन UI चरण।
• शिक्षार्थी कार्य: प्रत्येक टिकाऊ विशेषाधिकार-वृद्धि सीमा पर स्टेप-अप आश्वासन लागू करते हुए भूमिका जाँच, सत्र निरसन और सामान्य उपयोगकर्ता व्यवहार को संरक्षित रखें।
• छिपे हुए परीक्षण की दिशाएँ: स्वतंत्र भूमिका-बनाम-AAL जाँच, पुराने/निरस्त सत्र, डाउनग्रेड किए गए सत्र, कुंजी निर्माण/रोटेशन, विकृत आश्वासन दावे, और यह सुनिश्चित करना कि AAL2 गलती से एडमिन भूमिका प्रदान न करे।
• यह गैर-तुच्छ क्यों है: टोकन वैध और सही ढंग से हस्ताक्षरित है; भूमिका वैध है; विफलता अर्थपूर्ण है और प्रमाणीकरण सफल होने के बाद होती है। केवल टोकन सत्यापन को मजबूत करने, लॉगिन पर MFA जोड़ने, या केवल भूमिका की जाँच करने वाले सुधार अभी भी सुरक्षा अनुबंध में विफल रहते हैं।

मैपिंग

• CWE-288 — Authentication Bypass Using an Alternate Path or Channel
• CWE-287 — Improper Authentication
• OWASP A07:2021 — Identification and Authentication Failures
• OWASP API5/API6 विषय — function authorization और संवेदनशील व्यावसायिक प्रवाह

आधार

यह परिदृश्य CVE-2026-88861 (Capgo/Supabase AAL1 सत्र एक विशेषाधिकार प्राप्त RBAC पथ पर MFA को बायपास करता है) के लिए वर्णित आश्वासन-स्तर प्रवर्तन विफलता से प्रेरित है। यह पुनरुत्पादन मौलिक, न्यूनतम और स्व-निहित है; यह प्रभावित प्रोजेक्ट की प्रतिलिपि नहीं करता है।

प्रदर्शित उपचार

secureCreatePrivilegedAPIKey के लिए दोनों admin प्राधिकरण और aal2 स्टेप-अप आश्वासन की आवश्यकता होती है, जबकि activePrincipal स्वतंत्र रूप से सत्र निरसन लागू करता है। परीक्षण जानबूझकर सत्यापित करते हैं कि कोई भी शर्त दूसरे का विकल्प नहीं है।