九游老哥云
Auth0平台身份验证绕过误差 （CVE-2018-6873，CVE-2018-6874）
2018-04-10
综述
克日，Auth0被曝出保存严重的身份验证绕过误差。该误差（CVE-2018-6873）源于Auth0的Legacy Lock API没有对JSON Web Tokens(JWT)的参数做合理的验证，随后可以触发一个CSRF/SXRF误差（CVE-2018-6874）。攻击者仅需要知道用户的user ID或者email地点，就可以登录该用户任何使用Auth0验证的应用。
Auth0拥有2000多家企业用户并且天天治理凌驾15亿次的登录验证，是最大的身份平台之一。现在Auth0已经宣布更新修复了该误差。
相关链接：
https://securityaffairs.co/wordpress/71175/hacking/auth0-authentication-bypass.html
https://medium.com/@cintainfinita/knocking-down-the-big-door-8e2177f76ea5
受影响的版本
l Auth0.js 9 & Lock 11 以下版本
不受影响的版本
l Auth0.js 9 & Lock 11
解决计划
Auth0官方已经宣布通告说明晰上述误差并且已宣布新版本，请受影响的用户尽快凭证官方的指导更新升级，举行防护。
不利便升级的用户可以接纳以下步伐暂时举行防护：
1. 关于CVE-2018-6874，用户可以将服务治理面板中的Legacy Lock API flag设置为off，这样会使得跨域验证（cross-domain authentication）失效，但/login上的全局登录（Universal Login page）仍然有用。
2. 官方推荐使用多因素身份验证功效（Multifactor authentication）使用该功效的用户并不会受上述误差的影响。
参考链接：
https://auth0.com/blog/managing-and-mitigating-security-vulnerabilities-at-auth0/
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
