注目★★★★★GitHub Advisory
@acastellon/auth v2.2.0：ヘッダ偽装でトークン検証をバイパス可能な脆弱性
30秒で把握
- 1@acastellon/auth v2.2.0 でヘッダ偽装によるトークン検証バイパスが確認
- 2is-admin: true 付与で権限昇格も可能・v2.3.0 以降で修正済み
- 3mTLS ベースのサービス認証を採用し spoofable バイパスを完全削除
要約
@acastellon/auth v2.2.0 の validateToken() ミドルウェアに、未認証のままトークン検証をバイパスできる脆弱性が確認された。攻撃者は auth-user と Host ヘッダを細工することで、service-brother バイパスロジックを悪用し、JWT/OIDC 検証が走る前に next() を呼ばせることができる。下流サービスが auth-user や is-* ヘッダを信頼する構成では、is-admin: true を付与した権限昇格も起こり得る。
あなたへの影響
同パッケージを利用している場合は v2.3.0 以上への更新と、auth-user / is-* ヘッダを無条件に信頼している下流サービスの設定見直しを行うこと。
推奨：★3 相当のニッチなパッケージのため即時対応の優先度は低いが、該当環境では確認が必要。