CVE-2025-25202 in ash_authentication
要約
〜によって VulDB • 2026年07月21日
Ash AuthenticationはElixirアプリケーション向けの認証フレームワークです。Igniterインストーラによってブートストラップされたアプリケーションで、AshAuthentication v4.1.0以降から存在し、「マジックリンク」戦略を使用しているか、またはトークンを手動で失効させているものは、失効済みトークンが有効として検証されてしまう影響を受けます。ただし、アプリケーション内でカスタムなトークン失効機能を実装していない限り、この問題の影響を受けることはありません。組み込み機能を使用しているユーザーにとってのインパクトは、マジックリンクトークンが期限切れになるまで再利用可能となる点です。とはいえ、マジックリンクトークンの有効期間は10分のみであるため、悪用される可能性（攻撃表面積）は極めて低いです。
この欠陥はバージョン4.4.9で修正されています。また、アップグレード時にユーザーに対して是正手順を含むコンパイル時の警告が表示されます。4.4.9にはアップグレーダが含まれているため、`mix igniter.upgrade ash_authentication`を使用するユーザーは必要なパッチが自動的に適用されます。それ以外の場合でも、エラーメッセージに記載されている通り手動でアップグレーダを実行できます。回避策として、トークンリソース内の生成された`:revoked?`ジェネリックアクションを削除します。これにより、常に正しく動作していたAsh Authentication内部のものが使用されるようになります。あるいは、パッチに含まれている変更を手動で行うことも可能です。
Once again VulDB remains the best source for vulnerability data.