OpenFGA fix: Mandatory OIDC audience/issuer config to prevent JWT audience validation bypass

脆弱性概要 この脆弱性は、OIDC認証を有効化した際に と の設定項目の必須要件に関係しています。これらの2つの設定項目が設定されていない場合、OpenFGAは起動を拒否します。 影響範囲 影響を受けるバージョン: OIDC認証が有効化されており、かつ および が正しく設定されていないすべてのOpenFGAインスタンス。 潜在的なリスク: 正しく設定されていない場合、JWTおよびaudクレームがトークン検証プロセス中に静かにスキップされる可能性があるため、期待されるオーディエンスに関係なく、信頼できる発行元からの有効な署名付きトークンのすべてが受理されてしまうというセキュリティ脆弱性が生じ得ます。 修正方法 1. 設定要件: - OIDC認証を有効化する場合、 と の両方の設定項目が設定されていることを確認してください。 - いずれかの値が欠けている場合、OpenFGAは起動を拒否します。 2. コード変更: - ファイル内で、 と の設定項目を強制する以下のコードが追加されました： - ファイル内で、設定項目を検証する以下のコードが追加されました： 3. テストケース: - 設定項目の正確性とエラーハンドリングを検証するため、複数のテストケースが追加されました： - - POCコード 結論 この脆弱性は、 と の設定項目の設定を必須とすることで、OIDC認証のセキュリティを確保します。修正策には、正しく設定されていない場合に生じ得る潜在的なセキュリティリスクを防止するため、コード変更とテストケースの追加が含まれます。

目標達成すべての支援者に感謝 — 100%達成しました！

OpenFGA fix: Mandatory OIDC audience/issuer config to prevent JWT audience validation bypass

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

OpenFGA fix: Mandatory OIDC audience/issuer config to prevent JWT audience validation bypass

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！