bbs-go: Authentifizierungsumgehung über Google-One-Tap-Anmeldung
Zusammenfassung
bbs-go bis einschliesslich 4.4.6 weist eine Authentifizierungsumgehung im Endpunkt /api/login/google_one_tap auf. Die Anwendung prüft den aud-Claim (Audience) übermittelter Google-ID-Tokens nicht, daher werden Tokens akzeptiert, die für beliebige OAuth-Clients ausgestellt wurden. Ein Angreifer mit eigenem Google-OAuth-Client kann ein von Google signiertes ID-Token eines Opfers wiederverwenden und erhält so eine authentifizierte Sitzung im verknüpften Konto des Opfers, ohne das Passwort zu kennen.
Betroffen
- mlogclub bbs-go, Versionen 0 bis einschliesslich 4.4.6
- Installationen mit aktivierter Google-One-Tap-Anmeldung sind betroffen
Behoben in
Unbekannt.
Umgehung
- Google-One-Tap-Anmeldung in der Anwendung deaktivieren, bis eine korrigierte Version verfügbar ist
- Zugriff auf den Anmeldeendpunkt wo möglich über einen Reverse Proxy einschränken
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc' (Proof of Concept verfügbar), nicht automatisierbar
- Technische Auswirkung: total
- Keine bestätigte Ausnutzung in freier Wildbahn bekannt
Unsere Empfehlung
- Prüfen, ob bbs-go eingesetzt wird und welche Version läuft
- Falls Version 4.4.6 oder älter im Einsatz ist, Google-One-Tap-Anmeldung deaktivieren oder den Endpunkt vorübergehend einschränken
- Anmeldungen auf ungewöhnliche Sitzungen in mit Google verknüpften Konten überwachen; bei Verdacht Passwörter zurücksetzen und Sitzungen ungültig machen
- Die Herstellerkorrektur nach Veröffentlichung einspielen und die Release-Seite des Projekts prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- HackMD write-up hackmd.io
- bbs-go jwt.go at v4.4.6 github.com
- bbs-go third_user_service.go at v4.4.6 github.com
- bbs-go releases github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:51.
Referenzen der NVD (5)
- https://github.com/mlogclub/bbs-go/blob/v4.4.6/internal/pkg/google/jwt.go#L55-L58
- https://github.com/mlogclub/bbs-go/blob/v4.4.6/internal/services/third_user_service.go#L274-L293
- https://hackmd.io/@hieuPenguinnn/bbs-go-google-one-tap-id-token-audience-confusion-account-takeover
- https://www.vulncheck.com/advisories/bbs-go-through-4.4.6-account-takeover-via-google-one-tap-login
- https://hackmd.io/@hieuPenguinnn/bbs-go-google-one-tap-id-token-audience-confusion-account-takeover
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.