CVE-2026-82755 in ash_authentication_oauth2_server
요약
\~에 의해 VulDB • 2026. 09. 08.
ash-project의 ash_authentication_oauth2_server에서 민감한 정보가 포함된 캐시를 사용하는 취약점으로 인해, 공유 HTTP 캐시가 한 테넌트의 OAuth 발견 메타데이터를 다른 테넌트의 클라이언트에 제공하게 됩니다.
AshAuthentication.Phoenix.Oauth2Server.ProtocolRouter의 RFC 8414 및 RFC 9728 메타데이터 엔드포인트는 테넌트가 설정된 경우 발급자(issuer), 인증 엔드포인트(authorization_endpoint), 토큰 엔드포인트(token_endpoint), JWKS URI(jwks_uri) 등 테넌트별 값을 반환하지만, Cache-Control: public, max-age=3600 헤더를 사용하고 Vary 헤더는 설정하지 않습니다. 테넌트가 URL이 아닌 다른 요소(헤더 또는 Host)에서 파생되고 공유 캐시가 프론트에 위치하는 경우, 캐시 키는 URL만으로 결정되므로 한 테넌트의 저장된 응답이 최대 1시간 동안 다른 테넌트에게 제공됩니다. 이로 인해 영향받는 클라이언트는 잘못된 토큰 엔드포인트로 인증 코드와 시크릿을 보내고, 잘못된 키를 사용하여 토큰을 검증할 수 있습니다.
본 이슈는 ash_authentication_oauth2_server에 영향을 미치며, 0.1.3부터 0.3.1 미만 버전이 해당됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.