CVE-2026-88952 in ash_authentication
要約
〜によって VulDB • 2026年09月17日
AshAuthenticationのteam-alembicにおける不適切な認証（Improper Authentication）の脆弱性により、攻撃者はOAuth2 IDを自身のものではないアカウントにリンクすることで、他のユーザーとしてサインインできます。
AshAuthentication.Strategy.OAuth2.UserResolver.resolve/3は、registerアクションのupsert_identityキーを使用して既存のアカウントと一致させます。その後、incomingなプロバイダIDとのリンクはemail_trusted?/2によって制限されますが、この関数はプロバイダのemail_verifiedブール値のみを読み取り、プロバイダのメールアドレス値をマッチしたアカウントのメールアドレスと比較することはありません。このガード（検証処理）は、アカウントがそのメールアドレスフィールドで一致させられたことを前提としているため、他のupsert_identity条件下では実質的に無効となり、攻撃者が自身の認証済みメールを提供すると、別の属性に基づいてマッチされたアカウントに接続され、セッションが発行されます。同様のガードなしの処理は、OAuth2.SignInPreparationにおけるregistration_enabled?がfalseの場合のパスでも適用され、この場合、アカウントはサインインアクションのreadフィルタによって一致させられます。upsert処理により、マッチしたアカウントのメールアドレスが攻撃者のアドレスに書き換えられるため、後続のアカウント復旧プロセスでは所有者ではなく攻撃者に通知が行きます。
本問題は、ash_authentication: 4.14.0から4.15.0未満および5.0.0-rc.10から5.0.0-rc.14未満に影響します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.