注目★★★★★GitHub Advisory
Authorizer に認証なし乗っ取り脆弱性、未検証メールの OAuth リンク悪用
30秒で把握
- 1Authorizer の OAuth リンク処理が未検証メール経由で乗っ取り許容、攻撃者が事前登録で永続アクセス奪取可能
- 2メール検証なしでアカウント統合・自動検証される設計欠陥が原因、認証基盤全体を破壊する重大脆弱性
- 3本番運用チームはコミット 73679fa 以降へ即アップグレード・既存未検証メール OAuth リンクの再設定を実施
要約
Authorizer の OAuth コールバック処理に重大な脆弱性が存在し、攻撃者が犠牲者の未検証メールアドレスを使い事前登録することで、犠牲者が正規の OAuth ログインを実行した後に当該アカウントへの永続的なパスワードベースアクセスを奪取できる。脆弱性は `oauth_callback.go` の第 125 行で既存メールアドレスとのマッチング時に、当該メールが元の所有者により検証されたかどうかを確認しないまま OAuth アイデンティティをリンク (第 164 行) し、さらに検証なしメールを自動検証 (179-181 行) してしまう設計に起因する。コミット 73679fa で検証済み。
あなたへの影響
Authorizer を本番環境で運用するチームは直ちにコミット 73679fa 以降へのアップグレードを実施し。
推奨：既存のメール未検証アカウントに紐付いている OAuth プロバイダを全て削除・再リンク再要求に切り替える必要がある。