谷歌Java OAuth客戶端庫存在高危漏洞

谷歌Java OAuth客戶端庫存在高危漏洞，攻擊者可使用被黑的token部署惡意payload。

漏洞概述

谷歌OAuth Client Library for Java（Java OAuth客戶端庫）的設計目的是用來與web上的任意OAuth協作，而不僅僅是谷歌API。該庫基于谷歌Java HTTP客戶端庫構建，支持Java 7標準版和企業版、安卓4.0、谷歌APP引擎。

研究人員在Java OAuth客戶端庫中發現一個高位的認證繞過漏洞，CVE編號為CVE-2021-22573，CVSSv3評分8.7分，攻擊者可以利用該被黑的token來部署惡意payload。

漏洞產生的根源是IDToken驗證器沒有驗證token是否正確簽名。簽名驗證可以確保token的payload來源于有效的可信的提供者。因此，攻擊者可繞過客戶端的驗證，利用該漏洞可以構造來自不可信的提供者的任意惡意payload。

漏洞時間軸

該漏洞是由弗吉尼亞大學計算機科學專業4年級博士生Tamjid Al Rahat于3月12日發現的，微軟已于4月發布了v 1.33.3版本來修復該漏洞。Tamjid Al Rahat因此獲得了5000美元的漏洞獎勵。