Vulnerabilitatea de autentificare Okta AD/LDAP permite accesul neautorizat
Sursă: https://cybersecuritynews.com
Okta, o companie în managementul identității și accesului, a remediat recent o vulnerabilitate critică în sistemul său AD/LDAP Delegated Authentication.
Echipa de securitate a Okta a descoperit pe plan intern și a abordat prompt această vulnerabilitate, care ar putea permite accesul neautorizat la conturile utilizatorilor.
Vulnerabilitatea, introdusă la 23 iulie 2024, în timpul unei actualizări de rutină a platformei, a afectat mecanismul Okta de generare a cheilor cache pentru autentificarea AD/LDAP DelAuth.
Aceasta provine din utilizarea algoritmului Bcrypt pentru crearea de key cache prin procesul de hashing a unei combinații de ID utilizator, nume de utilizator și parolă.
Vulnerabilitatea critică a afectat în special numele de utilizator ce aveau 52 de caractere sau mai mult. În anumite condiții, această implementare ar putea permite autentificarea folosind doar un nume de utilizator care se potrivește cu o încercare de autentificare reușită anterior stocată în cache, ocolind în mod eficient necesitatea unei parole.
Două situații ar putea declanșa vulnerabilitatea:
- Atunci când agentul de autentificare a fost oprit și indisponibil;
- În timpul perioadelor de flux mare de trafic.
În timp ce condiția esențială a numelor de utilizator de 52 de caractere sau mai lungi poate limita domeniul de aplicare al vulnerabilității, organizațiile care utilizează nume de utilizator lungi în configurațiile Active Directory sau LDAP au fost deosebit de expuse riscului.
La descoperirea internă din 30 octombrie 2024, echipa de securitate Okta a remediat imediat vulnerabilitatea. Remedierea a implicat înlocuirea algoritmului Bcrypt cu PBKDF2 pentru generarea key cache, eliminând în mod eficient breșa de securitate.
Okta a îndemnat utilizatorii afectați să își analizeze jurnalele de sistem între 23 iulie 2024 și 30 octombrie 2024, pentru a identifica eventualele tentative de acces neautorizat.
Sursă: https://cybersecuritynews.com/okta-ad-ldap-authentication-vulnerability/
