Auth0 исправила уязвимость обхода аутентификации

Auth0 исправила уязвимость обхода аутентификации

Auth0 исправила уязвимость обхода аутентификации

Платформа Auth0 была подвержена уязвимости обхода аутентификации, которая открывала злоумышленникам возможность взлома учетных данных. Как сообщается в отчёте Auth0, разработчикам компании удалось полностью исправить уязвимость за несколько месяцев.

5 октября 2017 года компания Cinta Infinita сообщила Auth0 об обнаруженной уязвимости в Legacy Lock API (CVE-2018-6873). Истоком этой уязвимости стала некорректная проверка параметров в JSON Web Tokens (JWT). Исследователи компании протестировали уязвимость и им удалось обойти аутентификацию. Они осуществили межсайтовую подделку запроса (CSRF/XSRF) в приложениях, использующих Auth0, которую инициировала ошибка CVE-2018-6874.

Злоумышленникам для взлома учетных данных платформы Auth0 достаточно знать идентификатор или адрес электронной почты.

Демонстрация атаки

Как сейчас известно, Auth0 исправила ошибку с токенами выпустив новые версии SDK (auth0.js 9 и Lock 11) в течение нескольких часов после сообщения от Cinta Infinita, а вот перерабатывать уязвимые библиотеки компании пришлось несколько месяцев.

Auth0 обеспечивает модель аутентификации для большого числа платформ: в день она управляет 42 миллионами логинов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Суд оштрафовал Яндекс за отказ предоставить ФСБ доступ к умному дому Алисы

Мировой судья в районе Хамовники признал «Яндекс» виновным в том, что компания не выполнила предписание надзорных органов. Речь шла о том, что ФСБ требовала организовать круглосуточный удалённый доступ к сервису yandex.ru/alice/smart-home — то есть к данным «умного дома» от Алисы.

Как следует из постановления, текст которого приводят «Ведомости», протокол о нарушении составили ещё 28 мая 2025 года.

ФСБ направила материалы проверки в Роскомнадзор, и в итоге суд пришёл к выводу, что вина компании доказана. Представитель «Яндекса» на заседание не пришёл. В итоге судья назначил штраф — 10 тысяч рублей.

Юристы отмечают, что случай показателен: если раньше требования «закона Яровой» в основном касались мессенджеров, то теперь под действие норм фактически подпадает любая IT-инфраструктура. По словам экспертов, ФСБ старается расширить перечень баз данных, к которым нужен прямой доступ, тогда как сами компании учитывают негативное отношение пользователей к передаче личных данных спецслужбам.

Источники на рынке ИБ отмечают, что история не новая: «Яндекс» и раньше регулярно штрафовали за то, что он не открывал доступ к данным. Причём сама процедура подключения систем к ФСБ дорогая и сложная, поэтому компании проще оплачивать штрафы.

Эксперты также предполагают, что в случае с «умным домом» вопрос может быть не столько технический, сколько имиджевый. Если станет известно, что спецслужбы имеют постоянный доступ к данным смарт-колонок и других устройств, это может серьёзно ударить по продажам.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru