Authlib: Autorisierungsumgehung im RFC-7592-Client-Konfigurationsendpunkt

Zusammenfassung

Authlib, eine Python-Bibliothek für OAuth- und OpenID-Connect-Server, bindet das Registration Access Token in den dokumentierten RFC-7592-Referenzimplementierungen nicht an den Client, für den es ausgestellt wurde. Ein Client mit einem beliebigen gültigen Registration Access Token kann die Registrierung eines anderen Clients lesen, ändern oder löschen. Die Änderung von redirect_uris kann das Abfangen von Autorisierungscodes oder Tokens ermöglichen, und das Löschen von Registrierungen kann zu einem Denial of Service führen. Ein Angriff setzt voraus, dass die Anwendung diesen Referenzimplementierungen folgt und einem Client mit wenig Rechten ein Registration Access Token ausgestellt wird.

Betroffen

• Authlib 0.15 bis einschliesslich 1.9.0 (>= 0.15, < 1.9.1)
• Anwendungen, die ClientConfigurationEndpoint gemäss den dokumentierten Referenzimplementierungen von authenticate_client und check_permission umsetzen

Behoben in

• Authlib 1.9.1

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme.
• Falls ein Upgrade nicht möglich ist, stellen Sie sicher, dass Ihre Implementierungen von check_permission und authenticate_client prüfen, ob das Token zum Ziel-Client gehört.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept bekannt.
• EPSS: 0.27 % (Perzentil 20).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Prüfen Sie, ob Authlib in Python-Anwendungen eingesetzt wird, z. B. mit pip show authlib oder in Lockfiles.
• Aktualisieren Sie betroffene Installationen auf Authlib 1.9.1 und testen Sie vorher, da 1.9.x Breaking Changes enthält.
• Falls Ihr Code den Dokumentationsbeispielen zu RFC 7592 folgt, prüfen Sie die Bindung zwischen Token und Client in Ihrem eigenen Code.
• Schränken Sie die offene dynamische Client-Registrierung ein, da ein Angreifer ein gültiges Registration Access Token benötigt.
• Prüfen Sie geänderte oder gelöschte Client-Registrierungen und redirect_uris auf Auffälligkeiten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-c73q-w75p-j82v github.com
• Fix commit 1bd2a31 github.com
• Authlib release v1.9.1 github.com
• Authlib RFC 7592 documentation docs.authlib.org
• Ubuntu CVE tracker ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:11.