Yubico webauthn-server-core 身份冒充漏洞 (CVE-2026-4919) 漏洞公告

漏洞总结：Yubico WebAuthn Server Core 用户身份冒充漏洞 (YSA-2026-02) 漏洞概述 CVE ID: CVE-2026-4919 CVSS 评分: 7.2 严重程度: 高 (High) 描述: 在特定实现中，攻击者可以使用一个现有的、与依赖方 (RP) 关联的账户，以目标用户（该用户没有注册 WebAuthn 凭据）的身份进行认证。这导致用户身份冒充。 影响范围 受影响软件: (GitHub project java-webauthn-server) 受影响版本: 2.8.0 到 2.8.1 2.6.0-alpha2 到 2.6.0-alpha8 2.7.0-alpha1 2.8.0-alpha1 到 2.8.0-alpha3 2.8.0-RC1 2.9.0-alpha1 不受影响产品: 所有 Yubico 硬件设备 (YubiKey, Security Key, YubiHSM 等)。 的以下版本： 2.5.4 及更早版本 2.6.0 2.7.0 2.6.0-alpha1 2.6.0-RC1 2.7.0-RC1 到 2.7.0-RC3 受影响场景: 使用 "second factor" 流程（即非 "passkey" 流程）。 使用用户名标识用户。 应用程序实现了 或 接口。 认证尝试针对那些在凭据仓库中缺乏 WebAuthn 用户句柄的用户名。 修复方案 推荐操作: 受影响客户应升级到 的 2.8.2 或 2.9.0 或更高版本。 额外缓解措施: 如果实现了 接口：确保 方法始终为已注册用户返回唯一且非空的结果。 如果实现了 接口：确保 方法始终为已注册用户返回唯一且非空的结果。 避免调用 或 时，将 设置为空。 因此，也应避免调用 或 时，将 设置为空，因为这些方法会将此用户名值复制到 ，而应用程序后来期望在 中将其作为 传递。 技术细节 漏洞原理: 库支持两种认证模式："second factor" 和 "passkey"。 在 "second factor" 模式下，用户首先通过用户名和密码（或类似方式）进行身份验证，然后进行 WebAuthn 认证。库通过 或 传递用户名。 在 "passkey" 模式下，身份验证和认证同时进行， 和 留空。 在 "second factor" 模式下，用户标识符既是输入也是输出，需要验证一致性。而在 "passkey" 模式下，用户标识符仅是输出。 逻辑错误发生在 中，当 在初始查找中未找到时，未能交叉检查已验证的凭据句柄与请求的用户名。如果攻击者为其自己的账户提供了有效的凭据，但针对没有凭据的用户名进行目标攻击，库会错误地实例化一个 ，其中 返回空值。这可能导致用户身份冒充。 攻击者必须拥有已注册的 WebAuthn 凭据，知道要冒充的目标用户名，并且目标用户名必须没有关联的用户句柄。 RelyingParty 类与 CredentialRepository 接口细节: 如果应用程序使用 方法构建 实例，则库会构建一个 实例，并使用提供的 实现，包括其 方法。 在 中，如果 设置为一个 返回空值的用户名，并且 已设置，则 可能会使用来自 的不同用户的凭据成功完成，而 错误地复制了 ，而不是经过身份验证的用户。 RelyingPartyV2 类与 CredentialRepositoryV2 和 UsernameRepository 接口细节: 如果应用程序不使用 或 方法构建 实例，则库不会处理用户名，因此不会表现出此漏洞。 如果应用程序使用 方法构建 实例，则库会构建一个 实例，并且应用程序可以选择使用 构建器方法提供 接口的实现，包括其 方法。 在 中，如果 设置为一个 返回空值的用户名，并且 已设置，则 可能会使用来自 的不同用户的凭据成功完成。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Yubico webauthn-server-core 身份冒充漏洞 (CVE-2026-4919) 漏洞公告

目标达成感谢每一位支持者 — 我们达成了 100% 目标！