Autenticación Inadecuada en lunary-ai/lunary

Un atacante puede explotar esta vulnerabilidad para robar las cuentas de usuario de lunary AI. Al no verificar correctamente el campo 'aud' (audience) en los tokens de acceso emitidos por Google, un atacante puede utilizar tokens obtenidos de aplicaciones maliciosas para hacerse pasar por un usuario legítimo. Esto permite el acceso a información personal, historial de actividad, y potencialmente a otros datos sensibles almacenados en la aplicación. El impacto se amplifica si lunary AI se utiliza para gestionar información confidencial o si los usuarios tienen cuentas vinculadas a otros servicios. La falta de autenticación adecuada abre la puerta a un amplio rango de ataques, incluyendo la suplantación de identidad y el acceso no autorizado a recursos.

Organizations and individuals using lunary for AI-powered tasks and relying on Google OAuth for authentication are at risk. This includes users who have not yet upgraded to the latest version (1.9.35) and those who have not implemented additional security measures to mitigate the risk of account takeover.

• python / server: Examine lunary application logs for OAuth authentication attempts with invalid 'aud' values. Use Python's requests library to test the OAuth endpoint and verify 'aud' validation.

import requests

# Replace with your lunary instance URL
url = 'https://your-lunary-instance/oauth/token'

# Replace with your client ID and secret
client_id = 'your_client_id'
client_secret = 'your_client_secret'

# Malformed token
token = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJleGFtcGxlIiwibmJmIjoxNjk4NzQ4ODAwLCJleHAiOjE2OTg3NzA4MDAsImlnaGxpZmViVXNlcm5hbWUiOiJodHRwczovL3dvc3RhbmQuZ2UiLCJzY29wZSI6WyJtYWljYWwtdG9rZW4uY29jkzsifQ.xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'

headers = {'Content-Type': 'application/x-www-form-urlencoded'}
data = {'grant_type': 'urn:ietf:params:oauth:grant-type:jwt-bearer', 'assertion': token, 'client_id': client_id, 'client_secret': client_secret}

response = requests.post(url, headers=headers, data=data)

print(response.status_code)
print(response.text)

• generic web: Monitor access logs for requests to the OAuth token endpoint with unusual parameters or user agents. Check for unusual patterns in OAuth authentication attempts.

1. 2025-11-25Disclosure

   disclosure

1. Reservado2025-09-01
2. Publicada2025-11-25
3. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-9803 es actualizar lunary AI a la versión 1.9.35 o superior. Si la actualización causa problemas de compatibilidad, se recomienda evaluar la posibilidad de implementar una solución temporal, como restringir el acceso a la integración de Google OAuth a usuarios específicos o implementar un sistema de autenticación de dos factores (2FA) para agregar una capa adicional de seguridad. Es crucial revisar la configuración de OAuth y asegurar que la validación del 'aud' se realice correctamente. Después de la actualización, confirme que la validación del token de Google OAuth se realiza correctamente verificando los logs de la aplicación en busca de errores relacionados con la autenticación.