„`html
CVE-2026-82462: Kritische Authentication-Lücke in pac4j-oidc
Zusammenfassung
Die OpenID Connect (OIDC) Implementierung in pac4j vor Version 6.5.6 weist eine kritische Validierungslücke auf. Das Framework akzeptiert OIDC-Callbacks, die ausschließlich Access Tokens enthalten, ohne dass Authorization Codes oder ID Tokens validiert werden. Dies ermöglicht Angreifern die Erstellung nicht autorisierter authentifizierter Sessionen durch Token-Substitution.
Betroffene Systeme
- pac4j-oidc Versionen vor 6.5.6
- Alle Anwendungen, die pac4j für OIDC-basierte Authentifizierung einsetzen
- Java-basierte Web-Anwendungen mit integrierten OIDC-Flows
Technische Details
Die Sicherheitslücke liegt im unzureichenden Token-Validierungsmechanismus. Betroffene Versionen führen folgende kritische Überprüfungen nicht durch:
- Issuer-Validierung: Keine Überprüfung des Token-Ausstellers
- Audience-Claim: Fehlende Validierung der Zielgruppe (aud)
- Nonce-Verification: Keine Nonce-Überprüfung gegen CSRF-Attacken
- Subject-Verification: Keine Verifizierung der Subject-Claims
Angreifer können Access Tokens, die für andere Clients ausgestellt wurden, abfangen und als eigene verwenden, um authentifizierte Sessionen zu hijacken.
Empfohlene Massnahmen
- Sofortiges Update: Upgrade auf pac4j-oidc Version 6.5.6 oder höher durchführen
- Dependency-Check: Alle Abhängigkeiten auf betroffene Versionen prüfen
- Session-Audit: Bestehende Sessionen auf verdächtige Token-Substitutionen überprüfen
- Monitoring: Erhöhte Logging- und Monitoring-Level für OIDC-Flows aktivieren
- Token-Policies: Strikte Token-Validierungspolicies implementieren
Bewertung
CVSS Score: 6.5 (Medium)
Angriffsvektor: Network (Netzwerk-basiert)
Patch-Status: Nicht verfügbar – Update erforderlich
Trotz der CVSS-Einstufung sollte diese Lücke mit hoher Priorität behandelt werden, da sie direkten Einfluss auf die Authentifizierungsintegrität hat.
„`