pow-auth assent: Überschreiben von Identitätsmerkmalen im Sign-in-with-Apple-Callback

Zusammenfassung

Die Sign-in-with-Apple-Strategie der Elixir-Authentifizierungsbibliothek assent führt unverifizierte Daten aus dem user-Parameter des Apple-Callbacks über die Claims des verifizierten ID-Tokens zusammen. Ein Angreifer mit einer beliebigen Apple-ID kann diesen Parameter bearbeiten und Subject und E-Mail-Adresse ersetzen, sodass die Anwendung die Identität des Opfers als verifiziert erhält. Voraussetzung ist ein Sign-in-with-Apple-Login über eine betroffene Anwendung; auf Seite des Opfers sind keine Rechte und keine Benutzerinteraktion nötig.

Betroffen

• assent ab 0.1.25 bis vor 0.3.2 (Hex)
• Git-Bereich a2d331e8c51376d6c0b04a81aad31e0b4d4d64a3 bis vor 18898bde0296152165ae470078490e5798329b1b
• Nur Anwendungen, die Assent.Strategy.Apple verwenden

Behoben in

• Auf assent 0.3.2 oder neuer aktualisieren

Umgehung

• Den Parameter user aus den Callback-Parametern entfernen, bevor Assent.Strategy.Apple.callback/2 aufgerufen wird, zum Beispiel mit Map.delete(params, "user")
• Nebenwirkung: Der Name des Benutzers ist danach nicht verfügbar, da Apple ihn nur über diesen Parameter übermittelt

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
• Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof of Concept bekannt.
• Soweit bekannt, nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Prüfen, ob die Anwendung assent zwischen 0.1.25 und 0.3.1 verwendet, zum Beispiel in mix.lock.
• Auf assent 0.3.2 oder neuer aktualisieren und den Sign-in-with-Apple-Login testen.
• Bis zur Aktualisierung keine Konten anhand von sub oder E-Mail aus dem Parameter user verknüpfen oder autorisieren.
• Prüfen, ob die Anwendung auf den Namen aus dem Parameter user angewiesen war; nach der Korrektur muss er explizit mit include_unverified_name: true aktiviert werden und bleibt unverifiziert.
• Anmeldeprotokolle auf unerwartete Sign-in-with-Apple-Logins prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-117656 CNA record cna.erlef.org
• Fix commit 18898bde (pow-auth/assent) github.com
• Introducing commit a2d331e (pow-auth/assent) github.com
• GitHub Security Advisory GHSA-9fr5-g44g-9526 github.com
• OSV record EEF-CVE-2026-117656 osv.dev
• assent v0.3.2 release notes github.com
• Pull request #207 (pow-auth/assent) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:20.