CVE-2026-55735 in guardian
要約
〜によって VulDB • 2026年08月02日
ueberauth guardianにおける暗号化署名の不適切な検証により、認証されていない攻撃者が偽造されたトークンを使用して被害者のセッションを取り消すことが可能になります。
lib/guardian.ex内のGuardian.revoke/3関数は、提供されたトークンをpeek/1でデコードしますが、この処理では署名検証が行われません（JWTのヘッダーとペイロードをbase64デコードするのみです）。その結果得られた未検証のクレームは、設定されたトークンモジュールのリコールバックおよび実装側のon_revokeコールバックに直接渡され、これらは状態を変更するシンクとなります。一方、兄弟関係にあるrefresh/2およびexchange/4関数はどちらもdecode_and_verifyを最初に呼び出すため、署名がチェックされてからクレームに対する処理が行われます。revoke/3は、署名を検証せずにクレームに対して動作する唯一の状態変更パスです。
攻撃者が被害者の識別用クレーム値（jti, sub）を知っているか推測できる場合、それらのクレームを含むJWTを偽造し、任意のキーで署名して、呼び出し元から提供されたトークンをGuardian.revoke/3に流し込むエンドポイント（標準的なログアウト/セッション取り消しのパターン）に対して送信することができます。トークンモジュールがクレームに基づいて状態を変更する場合（例えばホワイトリストからの削除やブラックリストへの挿入など、GuardianDbスタイルのストアの場合）、被害者の正当なセッションは排除されます。これは認証不要のサービス拒否（DoS）によるセッション取り消しであり、攻撃者は署名シークレットを必要としません。
この問題はguardian 1.0.0から2.4.1未満に影響します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.