宁夏回族自治区通信管理局
网络与信息安全
2018-04-17
关于“蹭网”类移动应用程序的通...
2018-03-23
关于Exim SMTP Mai...
2018-03-23
宁夏网络安全情况月通报(201...
2018-02-26
关于Intel AMT存在高危...
2018-02-26
关于OAuth 2.0存在第三...
2018-02-26
关于PHP GD Graphi...
2018-02-26
宁夏网络安全情况月通报(201...
2018-01-24
宁夏网络安全情况月通报(201...
2018-01-23
关于Android平台WebV...
2018-01-23
关于CPU处理器内核存在Mel...
 
    网络与信息安全 您的位置>>首页>>网络与信息安全>>漏洞预警>>正文
关于OAuth 2.0存在第三方帐号快捷登录授权劫持漏洞的安全公告
[上传者:Super | 日期:2018-02-26 00:00:00]
 安全公告编号:CNTA-2018-0008

2018年1月21日,国家信息安全漏洞共享平台(CNVD)接收了OAuth 2.0存在第三方帐号快捷登录授权劫持漏洞(CNVD-2018-01622)。综合利用上述漏洞,攻击者可通过登录受害者账号,获取存储在第三方移动应用上的敏感信息。由于OAuth广泛应用于微博等社交网络服务,漏洞一旦被黑客组织利用,可能导致用户隐私信息泄露。

一、漏洞情况分析

OAuth(Open Authorization)是一个关于授权的开放网络标准,允许用户授权第三方移动应用,访问用户存储在其他服务提供者上的信息,而无需将用户名和密码提供给第三方移动应用或分享数据的所有内容。

该漏洞利用OAuth第三方授权无需用户名和密码的特点,结合redirect_uri未指定授权目录引发用户劫持攻击。攻击者通过登录某种社交网络服务,修改链接redirect_uri参数值指向,将伪造后的用户授权链接发给目标用户,当目标用户点击或被欺骗访问上述授权链接进行登陆后,攻击者即可通过referer获取用户授权,快速登录目标用户账号,还可登陆该账号绑定的其他网站信息,查看敏感信息或执行授权操作,还可以利用受害人账号进行非法信息传播、诈骗等非法行为。

CNVD对上述漏洞的综合评级为“中危”。

二、漏洞影响范围

上述漏洞影响采用第三方登陆授权方式的服务。

三、漏洞修复建议

CNVD建议第三方应用平台采取如下措施进行漏洞的防范,同时请广大用户注意第三方授权链接,谨慎输入账号密码:

1. 在注册第三方授权时,redirect_uri需要限制到指定网站的指定目录,比如redirect_uri注册为passport.aaa.com/oauth/,而非aaa.com或者passport.aaa.com。

2. 禁止非源跳转。通过增加网站跳转的判断条件,禁止对非本网站的链接进行跳转。

参考链接:http://www.cnvd.org.cn/flaw/show/CNVD-2018-01622

 

[ 加入收藏 ]   [ 打 印 ] [ 关 闭 ]
上一篇:关于Intel AMT存在高危漏洞的安全公告
下一篇:关于PHP GD Graphics Library存在拒绝服...
宁夏回族自治区通信管理局
             
Copyright © 2010 NingXia Communications Administration.宁夏回族自治区通信管理局版权所有
技术支持: 宁夏卓远信科网络技术有限公司 宁ICP备05000001号  网站标识码:bm07300001