Vulnerabilidad en el algoritmo "none" en Pac4j (CVE-2021-44878)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

06/01/2022

Última modificación:

13/05/2022

Descripción

Si un proveedor de OpenID Connect soporta el algoritmo "none" (es decir, tokens sin firma), pac4j v5.3.0 (y anteriores) no lo rechaza sin una configuración explícita por su parte o para el tipo de respuesta "idtoken", que no es seguro y viola la especificación OpenID Core. El algoritmo "none" no requiere ninguna verificación de firma al validar los tokens de identificación, lo que permite al atacante saltarse la validación de tokens inyectando un token de identificación malformado utilizando "none" como valor de la clave "alg" en la cabecera con un valor de firma vacío

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno