OAuthLib: Token-Grants können für Autorisierung vom Angreifer gelieferte client_id verwenden

Zusammenfassung

OAuthLib, eine Python-Implementierung der OAuth-Logik, verlangt in den Token-Grant-Handlern client_credentials und Resource Owner Password Credentials nicht, dass die übergebene client_id mit dem authentifizierten Client übereinstimmt. Ein authentifizierter Client mit geringen Berechtigungen kann dadurch bewirken, dass Grant- und Scope-Autorisierung die Identität eines anderen Clients verwenden, was zu Tokens mit nicht berechtigten Grants oder Scopes führen kann. Betroffen sind nur Anwendungen, deren Validatoren sich auf das Argument client_id stützen; Validatoren, die ausschliesslich über request.client autorisieren, sind möglicherweise nicht betroffen.

Betroffen

• oauthlib-Versionen vor 4.0.0
• Downstream-Distributionspakete: Distributions-Tracker prüfen, fixe Versionen unbekannt.

Behoben in

• Behoben in oauthlib 4.0.0.
• Behobene Versionen von Distributionspaketen: Unbekannt.

Umgehung

• Kein vom Hersteller bestätigter Workaround.
• Übergangsmassnahme: eigene Validatoren auf die Verwendung des Arguments client_id prüfen; dies ist eine Zwischenlösung, kein Fix.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Nach aktuellem Kenntnisstand nicht im CISA-KEV-Katalog aufgeführt.
• Technische Details sind im GHSA-Advisory öffentlich; ein eigenständiger öffentlicher Exploit ist nicht bestätigt.

Unsere Empfehlung

• Python-Anwendungen mit oauthlib inventarisieren, inklusive transitiver Abhängigkeiten und Docker-Images, und identifizieren, welche als Token-Aussteller fungieren.
• Auf oauthlib 4.0.0 oder neuer aktualisieren; bei distributionsverwaltetem Python den Hersteller-Tracker für den korrigierten Build prüfen.
• Falls sich das Update verzögert, eigene Validatoren prüfen, die das Argument client_id verwenden.
• Hinweis: Die CVSS-Bewertungen weichen voneinander ab (NVD/CNA 8.4, GitLab 9.6).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-7984-qgvg-3j9c github.com
• oauthlib release v4.0.0 github.com
• Fix commit c951a1d github.com
• GitLab Advisory Database CVE-2026-118669 advisories.gitlab.com
• OSV Debian CVE-2026-118669 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:52.