注目★★★★★GitHub Advisory
Flarum OAuthで認証前アカウント乗っ取り、Discord連携を停止
30秒で把握
- 1FriendsOfFlarum OAuthでDiscord経由の認証前アカウント乗っ取り
- 2未検証メールを信頼し既存Flarumユーザーへ攻撃者を紐付け
- 3修正版へ更新・困難な場合はDiscord OAuthを無効化
要約
FriendsOfFlarum OAuthで、Discord OAuthの未検証メールを信頼する認証前アカウント乗っ取り脆弱性が発生した。攻撃者は対象ユーザーのメールアドレスを知っていれば、パスワードや被害者の操作なしでDiscord連携を悪用し、Flarumアカウントへログインできる。管理者アカウントも対象になる。Discordログインを有効にし、対象メールがDiscordアカウントに未紐付けの場合に悪用できる。修正まで更新できない管理者は、拡張機能設定でDiscord OAuthを無効化する必要がある。
あなたへの影響
FlarumでDiscord OAuthを利用する日本の運用チームは、近日中に修正版へ更新し、更新できない場合はDiscordログインを無効化してください。
推奨：OAuthは外部サービスの認証結果を受けてログインする仕組みで、今回はメールの検証状態を確認していませんでした。