CVE-2026-49757 — AshAuthentication OAuth2/OIDC खाता अधिग्रहण

CVE-2026-49757 के लिए प्रूफ ऑफ कॉन्सेप्ट — AshAuthentication में एक गंभीर कमजोरी जहां OAuth2/OIDC कॉलबैक (strategy, sub) पहचान जोड़ी के बजाय ईमेल पते द्वारा स्थानीय उपयोगकर्ता खातों को हल करते थे, जिससे अप्रमाणित खाता अधिग्रहण संभव हो पाता था।

हमले का सारांश

1. पीड़ित AshAuthentication का उपयोग करके लक्ष्य एप्लिकेशन पर पंजीकरण करता है
2. हमलावर पीड़ित के ईमेल का उपयोग करके किसी स्वीकृत OAuth प्रदाता पर पंजीकरण करता है
3. हमलावर OAuth के माध्यम से साइन इन करता है — ऐप ईमेल से मिलान करता है और पीड़ित के खाते के लिए एक सत्र बनाता है

पीड़ित के क्रेडेंशियल की आवश्यकता नहीं है। हमलावर को केवल पीड़ित के ईमेल पते और लक्ष्य द्वारा स्वीकार किए जाने वाले किसी भी OAuth प्रदाता पर एक खाते की आवश्यकता है।

आवश्यकताएँ

• Python 3.8+
• केवल मानक लाइब्रेरी (pip इंस्टॉल की आवश्यकता नहीं)

उपयोग

# Interactive mode (recommended)
python3 exploit.py

# Non-interactive mode (piped input)
echo | python3 exploit.py

PoC क्या प्रदर्शित करता है

चरण 1: कमजोर हैंडलर (ईमेल मिलान)

AshAuthentication के IdentityChange.change/3 का अनुकरण करता है जिसमें upsert_identity: :unique_email है:

• पीड़ित [email protected] (भूमिका: admin) से पंजीकरण करता है
• पीड़ित Google OAuth खाता लिंक करता है (sub: google-victim-real-12345)
• हमलावर Keycloak पर [email protected] (email_verified: false) से पंजीकरण करता है
• हमलावर OAuth लॉगिन शुरू करता है → ऐप ईमेल से मिलान करता है → हमलावर को पीड़ित का सत्र मिल जाता है

चरण 2: फिक्स्ड हैंडलर — :reject नीति (डिफ़ॉल्ट)

पैच किए गए UserResolver का अनुकरण करता है जो (strategy, sub) लुकअप का उपयोग करता है:

• हमलावर का sub (keycloak-attacker-fake-789) user_identities में नहीं मिलता
• on_untrusted_email_match: :reject लॉगिन को अवरुद्ध करता है
• हमला रोक दिया गया

चरण 3: फिक्स्ड हैंडलर — :confirm नीति

• हमलावर पीड़ित के ईमेल से OAuth लॉगिन का प्रयास करता है
• सिस्टम पीड़ित के ईमेल पर एक पुष्टिकरण टोकन भेजता है
• पहचान केवल तभी लिंक होती है जब पीड़ित पुष्टि करता है
• हमला रोक दिया गया (हमलावर ईमेल इनबॉक्स को नियंत्रित नहीं करता)

चरण 4: फिक्स्ड हैंडलर — trust_email_verified? = true

• वैध उपयोगकर्ता email_verified: true के साथ Google के माध्यम से साइन इन करता है → स्वत: लिंकिंग सफल होती है
• हमलावर email_verified: false के साथ Keycloak के माध्यम से साइन इन करता है → अवरुद्ध
• विश्वसनीय प्रदाताओं के लिए सुविधा संरक्षित, अविश्वसनीय के लिए सुरक्षा

फ़ाइलें

फिक्स (ash_authentication >= 4.14.0)

1. UserResolver मॉड्यूल — ईमेल के बजाय (strategy, sub) पहचान द्वारा उपयोगकर्ताओं को हल करता है
2. on_untrusted_email_match विकल्प — अज्ञात subs के लिए :reject (डिफ़ॉल्ट), :confirm, या :warn
3. trust_email_verified? विकल्प — प्रति-प्रदाता फ्लैग, GitHub/Google/Auth0/Slack/Apple के लिए डिफ़ॉल्ट true
4. पहचान अद्वितीय कुंजी — (strategy, uid, user_id) से (strategy, uid) में बदल दी गई
5. Upsert प्रतिबंध — विरोध पर user_id कभी अपडेट नहीं होता
6. कंपाइल-टाइम चेतावनियाँ — उन रणनीतियों के लिए जिनमें identity_resource नहीं है

संदर्भ

• NVD — CVE-2026-49757
• GHSA-777c-2fxx-qr28
• OpenID Connect Core §5.7 — Claim Stability
• AshAuthentication Hex.pm पर

अस्वीकरण

यह PoC केवल शैक्षिक और रक्षात्मक परीक्षण उद्देश्यों के लिए है। केवल उन सिस्टमों पर परीक्षण करें जिनके आप मालिक हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अनुमति है।