SciTokens: गलत स्कोप पाथ प्रीफिक्स जाँच के माध्यम से प्राधिकरण बाईपास

Scitokens में CVE-2026-32716 दायरे के पथों के गलत सत्यापन के कारण प्राधिकरण को दरकिनार करने की अनुमति देता है। Enforcer घटक इन दायरों को मान्य करने के लिए एक साधारण उपसर्ग मिलान (startswith) का उपयोग करता है। इसका मतलब है कि किसी विशिष्ट पथ (जैसे /john) तक पहुंच वाले टोकन के पास समान उपसर्ग साझा करने वाले भाई पथों (जैसे /johnathan, /johnny) तक भी पहुंच हो सकती है। दायरे के सत्यापन में यह विफलता एक हमलावर को अनधिकृत संसाधनों तक पहुंचने और एप्लिकेशन सुरक्षा से समझौता करने की अनुमति देती है।

Applications and services that rely on SciTokens for authentication and authorization, particularly those with complex or hierarchical scope structures, are at risk. Shared hosting environments where multiple applications share the same SciTokens instance are also particularly vulnerable, as a compromise in one application could potentially impact others.

• python / application: Examine application logs for unusual access patterns or requests to sibling paths after authentication. • python / application: Review SciTokens configuration files for overly permissive scope definitions. • python / application: Monitor for modifications to src/scitokens/scitokens.py file, specifically the validatescp and validatescope methods.

import os
import hashlib

def check_scitokens_version():
    try:
        import scitokens
        version = scitokens.__version__
        print(f"SciTokens version: {version}")
        if version <= '1.8.1':
            print("WARNING: Vulnerable to CVE-2026-32716. Upgrade recommended.")
        else:
            print("SciTokens version is up to date.")
    except ImportError:
        print("SciTokens is not installed.")

check_scitokens_version()

1. 2026-03-31Disclosure

   disclosure

2. 2026-03-31Patch

   patch

1. आरक्षित2026-03-13
2. प्रकाशित2026-03-31
3. EPSS अद्यतन2026-04-07

इस भेद्यता को कम करने के लिए, Scitokens को संस्करण 1.9.6 या उच्चतर में अपग्रेड करें। यह संस्करण समस्या को ठीक करता है अधिक सख्त दायरे सत्यापन को लागू करके। कृपया Scitokens दस्तावेज़ देखें, जिसमें अपग्रेड कैसे करें और फिक्स के सही कार्यान्वयन को कैसे सत्यापित करें, इस बारे में विस्तृत निर्देश दिए गए हैं। इसके अतिरिक्त, अपने Scitokens कॉन्फ़िगरेशन की समीक्षा करें ताकि यह सुनिश्चित हो सके कि दायरे को यथासंभव प्रतिबंधात्मक रूप से परिभाषित किया गया है, केवल आवश्यक संसाधनों तक पहुंच को सीमित किया गया है।