azureauthextension - это расширение Azure Authenticator. С 0.124.0 до 0.150.0 обход аутентификации на стороне сервера в azureauthextension …

azureauthextension - это расширение Azure Authenticator. С 0.124.0 до 0.150.0 обход аутентификации на стороне сервера в azureauthextension позволяет любой стороне, которая имеет один действительный токен доступа Azure для любой области, которую может отчеканить настроенная личность коллектора, аутентифицировать любому приемнику OpenTelemetry, который использует awth: azure_auth. Метод Authenticate расширения не проверяет входящие токены на предъявителя как JWT. Вместо этого он называет свой собственный сконфигурированный учетный зачет для получения токена доступа и сравнивает токен клиента с результатом с равенством строк — и область применения этого запроса на стороне сервера взята из заголовка хоста, поставляемого клиентом. В результате токен, отчеканенный для любого ресурса Azure, для которого директору службы когда-либо выдавали токен (ARM, Graph, Key Vault, Storage и т. Д.), Аутентифицируется коллекционеру, если злоумышленник выберет соответствующий Хост. Токены можно воспроизвести в течение полного срока службы (обычно несколько часов для токенов управляемой идентификации).