Patch Ticker

oauthlib 기기 인증 흐름에서 device_code 검사 누락

파이썬 인증 부품에서 확인 절차 없이 접속 권한을 받을 수 있습니다.

요약

oauthlib의 RFC 8628 기기 인증 흐름이 device_code 값을 확인하지 않아, 올바른 클라이언트 ID를 아는 사람이 기기 인증을 거치지 않고 베어러 토큰을 받을 수 있습니다. 3.3.0 이상 4.0.1 미만 버전이 해당합니다.

해당 조건

  • RFC 8628 기기 인증 흐름 사용
  • 기기 인증이 켜진 유효한 클라이언트 ID를 알고 있음

대처법

4.0.1 이상으로 업데이트하세요. 출처에 임시 조치는 없습니다.

대상 제품과 운영체제

  • oauthlib

CVE 번호

원문 링크

시각

처음 게시

처음 확인