CVE-2026-49757

概要

# スプーフィングによる認証バイパスの脆弱性（team-alembic AshAuthentication） team-alembic AshAuthenticationにおけるスプーフィングによる認証バイパスの脆弱性により、OAuth2/OIDCサインインを介してローカルユーザーのアカウント乗っ取りが可能になります。AshAuthenticationのOAuth2およびOIDCファミリー戦略は、OpenID Connectの`iss`/`sub`クレームの組み合わせではなく、メールアドレス（emailフィールドへのupsert、またはユーザー定義のサインインフィルター）によってローカルユーザーを照合していました。OpenID Connect Core §5.7によれば、エンドユーザーを一意かつ安定的に識別できるのは`iss`/`sub`のみであり、emailを含む他のクレームは一意の識別子として使用してはなりません（MUST NOT）。被害者のメールアドレス（未検証のメール、再利用されたメール、または`email_verified: false`のアカウントを含む）を提示するプロバイダーログインは、被害者の既存のローカルアカウントに解決され、そのアカウントとしてサインインされました。認証されていない攻撃者が、受け入れられている任意のOAuthプロバイダーで被害者のメールアドレスを使用してアカウントを登録できる場合（またはプロバイダー側のメール再利用・再取得の恩恵を受ける場合）、被害者の完全なローカル権限を取得します。この修正では、ユーザーIDリソースに保存されている（strategy, sub）IDによってユーザーを解決し、プロバイダーの`email_verified`クレームが信頼される場合（`trust_email_verified?`）にのみ、新しい`sub`をメールアドレスによって既存のローカルアカウントにリンクします。この問題は、ash_authenticationの0.1.0から4.14.0未満、および5.0.0-rc.0から5.0.0-rc.10未満に影響します。

• ash-authentication-oauth2-oidc-account-takeover-cve-2026-49757-email-based-user-matchingPoC

  CVE-2026-49757の概念実証エクスプロイト。AshAuthenticationにおけるメールベースのユーザーマッチングを通じたOAuth2/OIDCアカウント乗っ取りを実証し、脆弱なハンドラと修正されたハンドラのシミュレーションを含む。