Platform
python
Component
scitokens
Opgelost in
1.9.7
1.9.6
CVE-2026-32716 is een autorisatie bypass kwetsbaarheid in de SciTokens bibliotheek. Door een incorrecte validatie van scope paden via een prefix match, kan een token toegang krijgen tot ongeautoriseerde paden. Dit heeft een hoge impact omdat het de toegangscontrole omzeilt. De kwetsbaarheid treft versies lager dan 1.9.6. De kwetsbaarheid is verholpen in versie 1.9.6.
CVE-2026-32716 in Scitokens maakt een autorisatie-omzeiling mogelijk door een onjuiste validatie van scope-paden. De Enforcer-component gebruikt een eenvoudige prefix-match (startswith) om deze scopes te valideren. Dit betekent dat een token met toegang tot een specifiek pad (bijvoorbeeld /john) ook toegang kan krijgen tot zusterpaden die hetzelfde prefix delen (bijvoorbeeld /johnathan, /johnny). Deze fout in de scope-validatie stelt een aanvaller in staat om ongeautoriseerde resources te benaderen en de beveiliging van de applicatie in gevaar te brengen.
Een aanvaller zou deze kwetsbaarheid kunnen exploiteren door een token te maken met toegang tot een specifiek pad en deze vervolgens te gebruiken om toegang te krijgen tot andere paden die hetzelfde prefix delen. Dit zou de aanvaller in staat kunnen stellen om gevoelige gegevens te benaderen of ongeautoriseerde acties uit te voeren. Het risico is groter in omgevingen waar scopes worden gebruikt om de toegang tot gevoelige resources te beheren.
Applications and services that rely on SciTokens for authentication and authorization, particularly those with complex or hierarchical scope structures, are at risk. Shared hosting environments where multiple applications share the same SciTokens instance are also particularly vulnerable, as a compromise in one application could potentially impact others.
• python / application: Examine application logs for unusual access patterns or requests to sibling paths after authentication.
• python / application: Review SciTokens configuration files for overly permissive scope definitions.
• python / application: Monitor for modifications to src/scitokens/scitokens.py file, specifically the validatescp and validatescope methods.
import os
import hashlib
def check_scitokens_version():
try:
import scitokens
version = scitokens.__version__
print(f"SciTokens version: {version}")
if version <= '1.8.1':
print("WARNING: Vulnerable to CVE-2026-32716. Upgrade recommended.")
else:
print("SciTokens version is up to date.")
except ImportError:
print("SciTokens is not installed.")
check_scitokens_version()disclosure
patch
Exploit Status
EPSS
0.03% (9% percentiel)
CISA SSVC
CVSS-vector
Om deze kwetsbaarheid te verhelpen, upgrade Scitokens naar versie 1.9.6 of hoger. Deze versie lost het probleem op door een strengere scope-validatie te implementeren. Raadpleeg de Scitokens-documentatie voor gedetailleerde instructies over hoe u kunt upgraden en de correcte implementatie van de fix kunt verifiëren. Controleer bovendien uw Scitokens-configuraties om ervoor te zorgen dat scopes zo restrictief mogelijk zijn gedefinieerd, waarbij de toegang wordt beperkt tot alleen de noodzakelijke resources.
Update de SciTokens bibliotheek naar versie 1.9.6 of hoger. Deze versie corrigeert de onjuiste validatie van scope-paden, waardoor de authorization bypass wordt voorkomen. U kunt updaten met behulp van de Python package manager (pip).
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Een scope definieert de set resources waar een token toegang toe heeft. Het wordt gebruikt om de toegang tot gegevens en functionaliteiten binnen een applicatie te beheren.
Scope-validatie is cruciaal om ervoor te zorgen dat tokens alleen toegang hebben tot de resources waarvoor ze geautoriseerd zijn. Een onjuiste validatie kan leiden tot een autorisatie-omzeiling en ongeautoriseerde toegang.
Als u niet onmiddellijk kunt upgraden, overweeg dan om aanvullende mitigerende maatregelen te implementeren, zoals het beperken van de toegang tot de meest gevoelige resources en het monitoren van de token-activiteit op verdachte patronen.
Test na de upgrade uw applicatie grondig om ervoor te zorgen dat de scope-validatie werkt zoals verwacht. Controleer de audit-logs op ongebruikelijke activiteiten.
De upgrade naar versie 1.9.6 kan een minimale impact hebben op de prestaties, maar het wordt verwacht dat deze verwaarloosbaar is in de meeste gevallen. Prestatie-tests worden aanbevolen na de upgrade.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je requirements.txt-bestand en we vertellen je direct of je getroffen bent.