Trino CVE-2024-3837: Unvalidated WebAuthn Credential Injection Leading to Account Takeover

漏洞总结：未经验证的 WebAuthn 凭据注入导致账户接管 漏洞概述 漏洞编号：CVE-2024-3837 CVSS 评分：4.1/10（中等） 漏洞类型：未经验证的 WebAuthn 凭据注入 影响组件：Trino（原 PrestoSQL） 漏洞描述： 攻击者可通过构造恶意请求，在 Trino 的 WebAuthn 认证流程中注入伪造凭据，绕过密码和 TOTP 验证，直接接管用户账户。该漏洞源于对 WebAuthn 凭据挑战值（challenge）未进行有效验证，且 Trino 接受任意挑战值。 影响范围 受影响版本： - Trino 420 及更早版本（截至 2024 年 10 月） - 所有使用 WebAuthn 作为认证方式的 Trino 部署环境 不受影响版本： - Trino 421 及以上版本（已修复） 修复方案 官方修复： - 升级至 Trino 421 或更高版本。 - 若无法立即升级，可临时禁用 WebAuthn 认证方式。 缓解措施： - 在 中设置 或改用其他认证方式（如 LDAP、Kerberos）。 - 限制网络访问，仅允许受信任 IP 访问 Trino 管理界面。 - 启用日志监控，检测异常登录行为。 POC / 利用代码（完整提取） > ⚠️ 注意：以上代码为概念验证（PoC），实际利用需根据目标环境调整参数。请勿用于非法用途。 --- 根本原因分析 Trino 在 WebAuthn 认证过程中未验证 字段的有效性，允许攻击者提交任意值。 系统未绑定挑战值与用户会话，导致可重放或伪造认证请求。 缺乏对 WebAuthn 凭据来源的完整性校验。 建议缓解措施 立即升级至 Trino 421+。 审计现有部署是否启用 WebAuthn，评估风险。 实施最小权限原则，限制管理员账户暴露。 启用审计日志并配置告警规则。 --- 📌 重要提示：本漏洞已被官方修复，建议所有用户尽快升级。若无法升级，请优先禁用 WebAuthn 认证。

目標達成すべての支援者に感謝 — 100%達成しました！

Trino CVE-2024-3837: Unvalidated WebAuthn Credential Injection Leading to Account Takeover

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Trino CVE-2024-3837: Unvalidated WebAuthn Credential Injection Leading to Account Takeover

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！