聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
该漏洞可导致犯罪分子仅通过一个用户名就通过 Okta 公司的 AD/LDAP 授权验证。不过，只有当满足了一系列条件时，该漏洞才会被利用。其中一个条件是用户名为52个字符或更长。
虽然这么长的字符不常见，但一些用户会将邮件地址作为用户名，从而造成了这种可能性。Okta 在安全公告中提到，其它需要满足的条件是，用户此前是否认证，创造认证缓存；以及该缓存是否为首次使用，而“如果 AD/LDAP 代理因网络流量较高而宕机或者无法获取”则可能发生这种情况。
该漏洞由 Okta 公司在10月30日发现，当时该漏洞已在系统中游荡了三个月。虽然已修复，但Okta 仍然建议用户查看自7月23日起的日志中是否存在任何异常的认证尝试情况。
Okta 还建议客户至少执行多因素认证机制，而这并非利用的前提条件。目前尚不清楚是否存在在野利用尝试。Okta 尚未回复相关问题。
https://www.darkreading.com/vulnerabilities-threats/okta-fixes-auth-bypass-bug-three-month-lull
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
文章来源: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247521392&idx=1&sn=5ed582159f171db2001138a8ba65e297&chksm=ea94a51adde32c0c02371dadb481e0b6f1d6763dc98bc2b323c974300a40d061d2aa67a43277&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh
如有侵权请联系:admin#unsafe.sh