CVE-2023-26451
Publiée le 2023-08-02 · Dernière modification le 2026-06-17
Les systèmes utilisant le service d'autorisation intégré oAuth sont affectés par une faille où les jetons d'autorisation sont générés à l'aide d'un hasard prévisible. Un attaquant non authentifié ayant un accès réseau peut prédire ces codes pour détourner le processus d'autorisation et prendre le contrôle des comptes d'autres utilisateurs. Comme cela ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers, l'attaque est relativement simple à exécuter si le service est activé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Functions with insufficient randomness were used to generate authorization tokens of the integrated oAuth Authorization Service. Authorization codes were predictable for third parties and could be used to intercept and take over the client authorization process. As a result, other users accounts could be compromised. The oAuth Authorization Service is not enabled by default. We have updated the implementation to use sources with sufficient randomness to generate authorization tokens. No publicly available exploits are known.