„`html
Zusammenfassung
CVE-2026-72887 ist eine kritische SicherheitslĂĽcke in Net::OAuth::Client fĂĽr Perl (Versionen vor 0.32),
die ein stilles Downgrade von OAuth 1.0a auf OAuth 1.0 ermöglicht. Diese Schwachstelle ermöglicht es Angreifern,
Session-Fixation-Attacken durchzuführen und Benutzerkonten zu übernehmen, ohne dass Warnungen oder Exceptions ausgelöst werden.
Betroffene Systeme
- Net::OAuth::Client fĂĽr Perl vor Version 0.32
- Alle Anwendungen, die diese Library zur OAuth-Authentifizierung nutzen
- Systeme mit aktivierter OAuth 1.0a-UnterstĂĽtzung
Technische Details
Die Schwachstelle entsteht durch folgendes Verhalten: Wird beim Konstruktor ein Callback ĂĽbergeben, wird OAuth 1.0a aktiviert.
Die Methode get_request_token() revoziert diese Auswahl jedoch stillschweigend, wenn die Response des Service Providers
das Feld oauth_callback_confirmed nicht enthält – ohne Exception, Warnung oder Validierungsoption.
Das kritische Element ist oauth_verifier, das Bindungsglied zwischen dem Autorisierungsschritt und dem Token-Austausch.
Bei einem Downgrade zu OAuth 1.0 fehlt dieser Parameter vollständig, da die Access-Token-Anfrage aus der OAuth 1.0 Message-Klasse
generiert wird, die keinen Verifier-Parameter unterstĂĽtzt.
Dies ermöglicht OAuth 1.0 Session Fixation-Attacken: Ein Angreifer bezieht einen Request Token,
lässt das Opfer diesen autorisieren und führt den Token-Austausch selbst durch. Dadurch wird das Opferkonto
mit einer vom Angreifer kontrollierten Session verlinkt.
Empfohlene Massnahmen
- Sofortiges Upgrade auf Net::OAuth::Client Version 0.32 oder höher
- Code-Review bestehender OAuth 1.0a-Implementierungen durchfĂĽhren
- Explizite Validierung des
oauth_callback_confirmed-Parameters implementieren - Strikte Anforderung von OAuth 1.0a ohne Fallback-Möglichkeiten konfigurieren
- Monitoring auf verdächtige Token-Austausche und Session-Aktivitäten erhöhen
Bewertung
CVSS Score: 9.8 (Critical)
Angriffsvektor: Network
Komplexität: Niedrig
Impact: Vollständige Kontoübernahme möglich
Die fehlende Benachrichtigung über das Downgrade macht diese Lücke besonders gefährlich,
da Entwickler das Sicherheitsrisiko nicht erkennen.
„`