Tinyauth に、シングルトンサービスインスタンス上の共有された可変状態を介した OAuth アカウントの混同の脆弱性があります

CVE-2026-33544 は、tinyauth において、特定の状況下で攻撃者が別のユーザーになりすますことを可能にする脆弱性です。これは、OAuth 実装 (GenericOAuthService, GithubOAuthService, GoogleOAuthService) 内の PKCE 検証子とアクセストークンの処理における競合状態が原因です。2 人のユーザーが同時に同じ OAuth プロバイダーでログインを試みると、悪意のある実行が他のユーザーの認証情報を傍受し利用することで、そのユーザーのアカウントへの不正アクセスを可能にする可能性があります。CVSS スコアは 7.7 で、中程度から高リスクを示しています。

Applications utilizing the tinyauth library for OAuth authentication are at risk. This includes Go-based applications that rely on tinyauth for handling OAuth flows, particularly those deployed in environments with high user concurrency or shared hosting configurations where multiple users might share resources.

• linux / server: Monitor application logs for unusual login patterns or session activity. Specifically, look for multiple logins from the same IP address within a short timeframe.

journalctl -u tinyauth -f | grep "session" | grep "race condition"

• generic web: Examine access logs for requests to OAuth endpoints originating from the same IP address but associated with different user accounts within a short time window.

grep "oauth/callback" /var/log/apache2/access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 10

1. 2026-04-01Disclosure

   disclosure

1. 予約済み2026-03-20
2. 公開日2026-04-01
3. 更新日2026-04-06
4. EPSS 更新日2026-04-10

推奨される解決策は、tinyauth をバージョン 1.0.1-0.20260401140714-fc1d4f2082a5 にアップグレードすることです。このバージョンは、OAuth データの機密アクセスを保護するための適切な同期メカニズムを実装することで、競合状態を修正します。このアップデートをできるだけ早く適用して、なりすましのリスクを軽減することをお勧めします。さらに、レート制限や多要素認証の実装など、セキュリティのベストプラクティスが利用されていることを確認するために、OAuth 設定を確認してください。