Passport
Уязвимости
2
Эксплуатируемые
0
Макс. CVSS
8.1
Макс. EPSS
0.00751
Распределение по критичности
Критический
0
Высокий
1
Средний
1
Низкий
0
Затронутые диапазоны версий
< 1.1.0
Также сопоставлено как (исходные строки): passport
Топ уязвимостей
CVE-2023-29019@fastify/passport — это порт библиотеки аутентификации passport для экосистемы Fastify. Приложения, использующие `@fastify/passport` в затронутых версиях для аутентификации пользователей в сочетании с `@fastify/session` в качестве базового механизма управления сеансами, уязвимы для атак с фиксацией сеанса со стороны сетевых и односайтовых злоумышленников. Приложения fastify используют библиотеку `@fastify/passport` для аутентификации пользователей. Вход в систему и проверка пользователя выполняются функцией `authenticate`. При выполнении этой функции `sessionId` сохраняется между предварительным входом в систему и аутентифицированным сеансом. Сетевые и односайтовые злоумышленники могут перехватить сеанс жертвы, подбросив действительный файл cookie `sessionId` в браузер жертвы и дождавшись, пока жертва войдет на веб-сайт. В качестве решения в новых версиях `@fastify/passport` `sessionId` регенерируется при входе в систему, что предотвращает обновление управляемого злоумышленником файла cookie предварительного сеанса до аутентифицированного сеанса. Пользователям рекомендуется выполнить обновление. Известных обходных путей для этой уязвимости нет.
CVE-2023-29020@fastify/passport — это порт библиотеки аутентификации passport для экосистемы Fastify. Защита CSRF (Cross-Site Request Forger), обеспечиваемая библиотекой `@fastify/csrf-protection` в сочетании с `@fastify/passport` в затронутых версиях, может быть обойдена сетевыми злоумышленниками и злоумышленниками, находящимися в том же сайте. `fastify/csrf-protection` реализует шаблон токена синхронизатора (используя плагины `@fastify/session` и `@fastify/secure-session`), сохраняя случайное значение, используемое для генерации CSRF-токена, в атрибуте `_csrf` сеанса пользователя. Библиотека `@fastify/passport` не очищает объект сеанса после аутентификации, сохраняя атрибут `_csrf` между сеансами до входа в систему и аутентифицированными сеансами. Следовательно, CSRF-токены, сгенерированные до аутентификации, остаются действительными. Таким образом, сетевые злоумышленники и злоумышленники, находящиеся в том же сайте, могут получить CSRF-токен для своего предварительного сеанса, зафиксировать этот предварительный сеанс в браузере жертвы посредством перебрасывания cookie, а затем выполнить CSRF-атаку после аутентификации жертвы. В качестве решения новые версии `@fastify/passport` включают параметры конфигурации: `clearSessionOnLogin (по умолчанию: true)` и `clearSessionIgnoreFields (по умолчанию: ['passport', 'session'])` для очистки всех атрибутов сеанса по умолчанию, сохраняя те, которые явно определены в `clearSessionIgnoreFields`.