CVE-2026-49757 — AshAuthentication OAuth2/OIDC 账户接管

CVE-2026-49757 的概念验证 — AshAuthentication 中的一个严重漏洞，其中 OAuth2/OIDC 回调通过电子邮件地址解析到本地用户账户，而不是 (strategy, sub) 身份对，从而允许未经身份验证的账户接管。

攻击概述

1. 受害者使用 AshAuthentication 在目标应用程序上注册
2. 攻击者使用受害者的电子邮件在任何受支持的 OAuth 提供商上注册
3. 攻击者通过 OAuth 登录 — 应用程序按电子邮件进行匹配，并为受害者的账户创建会话

无需受害者的凭据。攻击者只需要受害者的电子邮件地址，以及在目标接受的任何 OAuth 提供商上的一个账户。

环境要求

• Python 3.8+
• 仅使用标准库（无需 pip install）

使用方法

# Interactive mode (recommended)
python3 exploit.py

# Non-interactive mode (piped input)
echo | python3 exploit.py

PoC 演示内容

阶段 1：存在漏洞的处理程序（电子邮件匹配）

模拟 AshAuthentication 的 IdentityChange.change/3，使用 upsert_identity: :unique_email：

• 受害者使用 [email protected] 注册（角色：admin）
• 受害者关联 Google OAuth 账户（sub: google-victim-real-12345）
• 攻击者在 Keycloak 上使用 [email protected] 注册（email_verified: false）
• 攻击者发起 OAuth 登录 → 应用程序按电子邮件匹配 → 攻击者获得受害者的会话

阶段 2：已修复的处理程序 — :reject 策略（默认）

模拟已修补的 UserResolver，使用 (strategy, sub) 查找：

• 在 user_identities 中找不到攻击者的 sub（keycloak-attacker-fake-789）
• on_untrusted_email_match: :reject 阻止登录
• 攻击已被阻止

阶段 3：已修复的处理程序 — :confirm 策略

• 攻击者尝试使用受害者的电子邮件进行 OAuth 登录
• 系统向受害者的电子邮件发送确认令牌
• 只有受害者确认后才会关联身份
• 攻击已被阻止（攻击者无法控制电子邮件收件箱）

阶段 4：已修复的处理程序 — trust_email_verified? = true

• 合法用户通过 Google 使用 email_verified: true 登录 → 自动关联成功
• 攻击者通过 Keycloak 使用 email_verified: false 登录 → 被阻止
• 为受信任的提供商保留便利性，为不受信任的提供商保障安全性

文件

修复方案（ash_authentication >= 4.14.0）

1. UserResolver 模块 — 通过 (strategy, sub) 身份而非电子邮件解析用户
2. on_untrusted_email_match 选项 — 对于未知 sub，可选 :reject（默认）、:confirm 或 :warn
3. trust_email_verified? 选项 — 按提供商设置的标志，GitHub/Google/Auth0/Slack/Apple 默认为 true
4. 身份唯一键 — 从 (strategy, uid, user_id) 改为 (strategy, uid)
5. Upsert 限制 — 冲突时绝不更新 user_id
6. 编译时警告 — 针对没有 identity_resource 的策略

参考链接

• NVD — CVE-2026-49757
• GHSA-777c-2fxx-qr28
• OpenID Connect Core §5.7 — 声明稳定性
• Hex.pm 上的 AshAuthentication

免责声明

此 PoC 仅用于教育和防御性测试目的。请仅针对您拥有或已获得明确授权测试的系统进行测试。