CVE-2018-15121 : Vulnérabilité de sécurité dans auth0-aspnet et auth0-aspnet-owin

CVE-2018-15121 : Vulnérabilité de sécurité dans le logiciel médiateur Auth0 obsolète pour ASP.NET

Date de publication : 6 août 2018

Numéro CVE : CVE-2018-15121

Crédit : Kévin Chalet

​

Présentation

Toutes les versions des paquets auth0-aspnet et auth0-aspnet-owin présentent une faille de sécurité qui rend les applications clientes vulnérables à une attaque de type Cross-Site Request Forgery (CSRF) lors des opérations d’autorisation et d’authentification.

La cause principale de cette vulnérabilité est le manque d’utilisation et de vérification du paramètre state dans les protocoles OAuth 2.0 et OpenID Connect (OIDC) qui permet à un attaquant d’injecter son code d’autorisation dans la session de la victime.

​

Cela me concerne-t-il?

Si vous utilisez une version de auth0-aspnet ou auth0-aspnet-owin, vous êtes affecté par cette vulnérabilité.

​

Comment résoudre ce problème?

Le développement des paquets auth0-aspnet et auth0-aspnet-owin a été interrompu. Nous recommandons fortement de passer à OWIN 4 et au paquet officiel Microsoft.Owin.Security.OpenIdConnect, qui n’est pas vulnérable.

Si votre application n’utilise pas actuellement OWIN, veuillez vous référer à la documentation OWIN de Microsoft pour l’activer dans votre application.

​

Cette mise à jour aura-t-elle des répercussions sur mes utilisateurs?

Les états et les sessions des utilisateurs actuels seront invalidés, car différentes bibliothèques gèrent l’authentification.