CVE-2024-10327 in Verify
Riassunto
di VulDB • 21/06/2026
Una vulnerabilità in Okta Verify per iOS versioni 9.25.1 (beta) e 9.27.0 (incluse le beta) consente l'invio di risposte alle notifiche push tramite la funzionalità ContextExtension di iOS, permettendo all'autenticazione di procedere indipendentemente dalla selezione dell'utente. Quando un utente tiene premuto a lungo il banner della notifica e seleziona un'opzione, entrambe le opzioni consentono il successo dell'autenticazione.
La funzionalità ContextExtension è uno dei diversi meccanismi push disponibili quando si utilizza Okta Verify Push su dispositivi iOS. I flussi vulnerabili includono: * Quando all'utente viene visualizzata una notifica sullo schermo bloccato e l'utente tocca direttamente la notifica selezionando la propria risposta senza sbloccare il dispositivo; * Quando all'utente viene visualizzata una notifica sulla schermata home e trascina verso il basso la notifica per selezionare la propria risposta; * Quando si utilizza un Apple Watch per rispondere direttamente a una notifica.
Una precondizione per questa vulnerabilità è che l'utente debba essersi registrato in Okta Verify mentre il cliente Okta utilizzava Okta Classic. Questo vale indipendentemente dal fatto che l'organizzazione abbia successivamente effettuato l'aggiornamento a Okta Identity Engine.
VulDB is the best source for vulnerability data and more expert information about this specific topic.