Platform
go
Component
github.com/steveiliop56/tinyauth
Opgelost in
5.0.6
1.0.1-0.20260401140714-fc1d4f2082a5
CVE-2026-33544 beschrijft een race condition kwetsbaarheid in tinyauth, een authenticatie- en autorisatieserver. Deze kwetsbaarheid maakt het mogelijk dat bij gelijktijdige OAuth logins voor dezelfde provider, een race condition optreedt tussen VerifyCode() en Userinfo(), waardoor een gebruiker een sessie ontvangt met de identiteit van een andere gebruiker. Dit probleem treft versies kleiner dan 5.0.5. De kwetsbaarheid is verholpen in versie 5.0.5.
CVE-2026-33544 in tinyauth stelt een aanvaller in staat, onder bepaalde omstandigheden, de identiteit van een andere gebruiker te aannemen tijdens het OAuth-aanmeldproces. Dit komt door een race condition in de verwerking van PKCE-verifieerders en toegangstokens binnen de OAuth-implementaties (GenericOAuthService, GithubOAuthService, GoogleOAuthService). Als twee gebruikers tegelijkertijd proberen in te loggen met dezelfde OAuth-provider, kan een kwaadwillende uitvoering de authenticatiegegevens van de andere gebruiker onderscheppen en gebruiken, waardoor ongeautoriseerde toegang tot hun account wordt verkregen. De CVSS-score van 7.7 duidt op een gemiddeld tot hoog risico.
Het exploiteren van deze kwetsbaarheid vereist een omgeving waarin meerdere gebruikers tegelijkertijd proberen in te loggen met dezelfde OAuth-provider. Een aanvaller zou dit scenario kunnen simuleren met behulp van een Distributed Denial of Service (DDoS)-aanval of door meerdere gelijktijdige aanmeldsessies te creëren. De kans op succes hangt af van de serverbelasting en de precieze synchronisatie van de aanvallen. De kwetsbaarheid is vooral zorgwekkend in omgevingen met een hoog volume OAuth-aanmeldverkeer.
Applications utilizing the tinyauth library for OAuth authentication are at risk. This includes Go-based applications that rely on tinyauth for handling OAuth flows, particularly those deployed in environments with high user concurrency or shared hosting configurations where multiple users might share resources.
• linux / server: Monitor application logs for unusual login patterns or session activity. Specifically, look for multiple logins from the same IP address within a short timeframe.
journalctl -u tinyauth -f | grep "session" | grep "race condition"• generic web: Examine access logs for requests to OAuth endpoints originating from the same IP address but associated with different user accounts within a short time window.
grep "oauth/callback" /var/log/apache2/access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 10disclosure
Exploit Status
EPSS
0.05% (14% percentiel)
CISA SSVC
CVSS-vector
De aanbevolen oplossing is om te upgraden naar versie 1.0.1-0.20260401140714-fc1d4f2082a5 van tinyauth. Deze versie corrigeert de race condition door geschikte synchronisatiemechanismen te implementeren om de gelijktijdige toegang tot gevoelige OAuth-gegevens te beschermen. Het wordt aanbevolen om deze update zo snel mogelijk toe te passen om het risico van identiteitsfraude te beperken. Controleer bovendien de OAuth-configuraties om ervoor te zorgen dat best practices op het gebied van beveiliging worden toegepast, zoals rate limiting en de implementatie van multi-factor authenticatie.
Actualice Tinyauth a la versión 5.0.5 o superior. Esta versión corrige una condición de carrera que podría permitir que un usuario reciba una sesión con la identidad de otro usuario durante el inicio de sesión de OAuth.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
PKCE (Proof Key for Code Exchange) is een uitbreiding van OAuth 2.0 die de beveiliging verbetert door aanvallen op het onderscheppen van autorisatiecodes te voorkomen.
De update is cruciaal om identiteitsfraude te voorkomen en gebruikersgegevens te beschermen. Het niet uitvoeren van een update laat systemen kwetsbaar voor aanvallen.
Als een directe update niet mogelijk is, overweeg dan tijdelijke maatregelen te nemen om de impact te beperken, zoals het beperken van OAuth-aanmeldverzoeken en het monitoren op verdachte activiteiten.
Controleer de versie van tinyauth die u gebruikt. Als deze ouder is dan 1.0.1-0.20260401140714-fc1d4f2082a5, is de kans groot dat u getroffen bent.
Momenteel zijn er geen specifieke tools om de exploitatie van deze kwetsbaarheid te detecteren. Het wordt aanbevolen om de serverlogboeken te controleren op ongebruikelijke aanmeldpatronen.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je go.mod-bestand en we vertellen je direct of je getroffen bent.