Một lỗ hổng bảo mật quan trọng mới được tiết lộ trong việc triển khai Open Authorization (OAuth) của framework phát triển ứng dụng Expo.io đã được gán mã định danh CVE là CVE-2023-28131 và được đánh giá mức độ nghiêm trọng là 9.6 trên hệ thống đánh giá CVSS. Công ty bảo mật API Salt Labs cảnh báo rằng vấn đề này có thể bị khai thác để rò rỉ thông tin đăng nhập, sau đó có thể được sử dụng để chiếm đoạt tài khoản và truy cập dữ liệu nhạy cảm. Nếu được cấu hình cho đăng nhập một lần (SSO) sử dụng một nhà cung cấp bên thứ ba như Google hoặc Facebook, kẻ tấn công có thể gửi token bí mật liên kết với nhà cung cấp đăng nhập đến một miền được kiểm soát bởi tác nhân và sử dụng nó để kiểm soát tài khoản của nạn nhân. Expo đã phát hành một bản vá nhanh trong vòng vài giờ sau khi tiết lộ một cách có trách nhiệm vào ngày 18 tháng 2 năm 2023 và khuyến nghị người dùng chuyển từ việc sử dụng proxy API AuthSession sang việc đăng ký trực tiếp lược đồ URL sâu với các nhà cung cấp xác thực bên thứ ba. Điều này theo sau việc phát hiện một lỗ hổng điều hướng đường dẫn và lỗi SQL injection (CVE-2023-28438) trong hệ thống quản lý nội dung doanh nghiệp Pimcore của công ty an ninh mạng Thụy Sĩ Sonar, và một lỗ hổng tấn công cross-site scripting lưu trữ không xác thực ảnh hưởng đến phiên bản 22.10.0 và trước đó của LibreNMS.
Source: Hackernews
Để giảm thiểu các mối đe dọa tiềm năng này, quan trọng là thực hiện các biện pháp bảo mật mạng bổ sung với sự trợ giúp của đối tác đáng tin cậy như INFRA www.infrascan.net hoặc bạn có thể tự kiểm tra bằng cách sử dụng check.website.