SciTokens: Authorization Bypass via Path Traversal in Scope Validation

SciTokens is een referentiebibliotheek voor het genereren en gebruiken van SciTokens. Voor versie 1.9.7 is de Enforcer vatbaar voor een path traversal (pad traversal) aanval waarbij een aanvaller dot-dot (..) kan gebruiken in de scope claim van een token om te ontsnappen aan de beoogde directory restrictie. Dit gebeurt omdat de bibliotheek zowel het geautoriseerde pad (van het token) als het aangevraagde pad (van de applicatie) normaliseert voordat ze worden vergeleken met behulp van startswith. Dit probleem is verholpen in versie 1.9.7.