إعداد AshAuthentication TOTP يسمح للمستخدم بتثبيت سر المصادقة الخاص به على حساب مستخدم آخر

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

توجد ثغرة تجاوز التفويض من خلال مفتاح يتحكم فيه المستخدم في team-alembic ash_authentication والتي تسمح لمهاجم يملك حسابًا مصادقًا عليه بتثبيت سر TOTP يتحكم فيه على حساب مستخدم آخر، ومن ثم تسجيل الدخول بصفته هذا المستخدم أو الاحتفاظ بعامل المصادقة الثاني الخاص به. تحقق AshAuthentication.Strategy.Totp.ConfirmSetupChange من رمز الإعداد ولكنه لم يتحقق من أنه صادر للسجل المراد تأكيده، لذا يمكن تأكيد السر المعلق الخاص بالمهاجم على سجل مستخدم آخر. كما قامت تغييرات إعداد TOTP، و ConfirmSetupChange، و GeneratePendingSetupChange، و GenerateSecretChange بتحديد مجموعات التغييرات الخاص بها تفاعلات AshAuthentication، والتي تسمح سياسة تفاعل AshAuthentication القياسية بالمرور عبرها. ونتيجة لذلك، فإن السياسة التي تقيد الإعداد و confirm_setup على السجل الخاص بالفاعل لم تعمل أبداً عندما كشف التطبيق عن تلك الإجراءات بواسطة مفتاح السجل، كما أن استدعاء الإعداد المباشر على سجل مستخدم آخر أدى إلى إرجاع السر المعلق ورمز الإعداد الخاص بهذا المستخدم. تؤثر هذه المشكلة على ash_authentication: من الإصدار 5.0.0-rc.0 قبل الإصدار 5.0.0-rc.16.

المعالجة

1. أحصِ جميع نشرات team-alembic ash_authentication، بما فيها بيئات الاختبار.
2. رقِّ team-alembic ash_authentication إلى الإصدار 5.0.0-rc.16.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/team-alembic/ash_authentication/commit/4058be0f519c2e9b0d2266e90f9c7d8547d54574
• تحذيرhttps://github.com/team-alembic/ash_authentication/security/advisories/GHSA-gx67-694c-655c
• مرجعhttps://cna.erlef.org/cves/CVE-2026-119215.html
• مرجعhttps://osv.dev/vulnerability/EEF-CVE-2026-119215
• مرجعhttps://github.com/team-alembic/ash_authentication/commit/6e7a880698614887527a87df206b4eb0c0fbd8c1