CVE-2026-102631

ŚrednieCVSS 5.9

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Streszczenie

W authd przed wersją 0.7.1 dopasowanie tożsamości użytkownika w UpdateUser (internal/users/manager.go) rozwiązuje przychodzące logowanie po identyfikatorze dostawcy w zakresie brokera, ale gdy identyfikator dostawcy nie należy do żadnego znanego użytkownika, następuje dopasowanie po nazwie użytkownika, bez odrzucenia sprzecznego niepustego identyfikatora dostawcy. Jeśli dostawca tożsamości przypisze adres e-mail używany przez authd jako nazwę użytkownika do nowego konta, nowe konto dziedziczy lokalny UID i katalog domowy poprzedniego użytkownika przy następnym logowaniu.

Ocena ryzyka

Nowy użytkownik może uzyskać dostęp i modyfikować pliki należące do poprzedniego użytkownika, w tym poświadczenia takie jak klucze SSH i tokeny API chmury, a lokalny rekord konta jest po cichu przepinany na nową tożsamość.

Rekomendacja

Zaktualizuj authd do wersji 0.7.1 lub nowszej; jako środek zaradczy administratorzy powinni zablokować lub usunąć lokalne konto authd poprzedniego użytkownika, gdy odpowiadające mu konto IdP zostanie usunięte.

Inne podatności w authd

CVE-2026-6970Wysokie
authd przed wersją 0.6.4 zawiera błąd logiczny w przypisywaniu identyfikatora grupy podstawowej (GID), który może prowadzić do eskalacji uprawnień lokalnych. Gdy GID użytkownika różni się od jego UID, authd błędnie resetuje GID do UID przy następnym logowaniu, co powoduje, że nowo tworzone pliki i katalogi mają niewłaściwą grupę, prowadząc do problemów z dostępem i potencjalnie umożliwiając eskalację uprawnień.

Oryginalny opis (angielski, źródło NVD)

In authd before 0.7.1, the user identity matching in UpdateUser (internal/users/manager.go) resolves an incoming login by the broker-scoped provider ID, but falls back to matching the username when the provider ID does not belong to any known user, and does not reject a conflicting non-empty provider ID. If an identity provider reassigns an email address, which authd uses as the username, to a new account, the new account inherits the previous user's local UID and home directory on its next login. This allows the new user to access and modify files belonging to the previous user, including credentials such as SSH keys and cloud API tokens, and silently rebinds the local account record to the new identity. As a mitigation, administrators should lock or delete the previous user's local authd account when the corresponding IdP account is removed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS