注目★★★★★GitHub Advisory
Poweradmin v4.3.2 に認証前 Host Header インジェクション、OIDC/SAML で全アカウント乗っ取り可能
30秒で把握
- 1Poweradmin v4.3.2 が OIDC・SAML・ログアウトで HTTP_HOST ヘッダを無検証使用、認証前 Host Header インジェクション脆弱性
- 2Identity Provider の認可コードが攻撃者サーバに誤送信され被害者アカウント全権奪取・CVSS 高レベルの認証フロー崩壊
- 3本番運用チームは Host ヘッダ検証をプロキシ層・設定ファイルで即設定、IdP 側リダイレクト URI ホワイトリストも確認が必須
要約
Poweradmin v4.3.2 は OIDC・SAML・ログアウトリダイレクト URL 構築時に、攻撃者が制御可能な HTTP_HOST ヘッダを検証なしに信頼する。認証なしで redirect_uri を poisoning され、Identity Provider が認可コードを攻撃者サーバに誤送信し、被害者アカウントを全権奪取される。OidcService::getCallbackUrl()・SamlConfigurationService::getBaseUrl()・LogoutController::getBaseUrl() の 3 コードパスが該当する。根本原因は、アプリケーション自体の他部分 (DocsController::getValidatedHost()) に存在する正しいホスト名検証パターンが、認証フローに適用されなかったこと。
あなたへの影響
Poweradmin を本番運用するチームは、HTTP_HOST ヘッダが信頼できない値として扱われるよう、設定ファイル / リバースプロキシ (nginx/Apache) で Host ヘッダ検証を即座に設定し、必要に応じてアプリケーション側で信頼できるドメインホワイトリストを構成してください。
推奨：OIDC/SAML 連携を使用している場合は Identity Provider 側のリダイレクト URI ホワイトリスト設定も合わせて確認を。