Ash Authentication possui lógica defeituosa de verificação de revogação de token em ações geradas por `mix ash_authentication.install`

Esta vulnerabilidade permite que atacantes reutilizem tokens revogados, comprometendo a segurança do processo de autenticação. No contexto de magic links, um atacante pode interceptar um link de login e utilizá-lo mesmo após o token ter sido revogado, permitindo acesso não autorizado à aplicação. A gravidade do impacto depende da criticidade dos dados e funcionalidades acessíveis após a autenticação bem-sucedida. A reutilização de tokens revogados pode levar à roubo de dados, comprometimento de contas e outras atividades maliciosas.

Elixir applications utilizing Ash Authentication, particularly those employing the magic link authentication strategy or implementing custom token revocation mechanisms, are at risk. Shared hosting environments where multiple applications share the same Ash Authentication instance could also amplify the potential impact.

1. 2025-02-11Disclosure

   disclosure

1. Reservado2025-02-03
2. Publicada2025-02-11
3. Modificada2025-02-12
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar o Ash Authentication para a versão 4.4.9 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, implemente uma funcionalidade de revogação de tokens customizada em sua aplicação para garantir que tokens revogados sejam efetivamente invalidados. Considere a implementação de medidas de segurança adicionais, como a limitação do tempo de vida dos tokens e a utilização de autenticação de dois fatores. Após a atualização, confirme a correção verificando se os tokens revogados não podem mais ser utilizados para autenticação.