OSSの認証プラットフォーム「Fief」に「SSTI」の脆弱性

オープンソースの認証プラットフォーム「Fief」に深刻な脆弱性が明らかとなった。

同ソフトウェアは、「OAuth2」や「OpenID Connect」に対応しており、ソーシャルログインなどの機能を提供するオープンソースの認証プラットフォーム。

同製品サーバに「サーバサイドテンプレートインジェクション（SSTI）」の脆弱性が明らかとなったもの。読み込むテンプレート内の値を操作することで基盤となるシステム上でコードを実行することが可能となる。

GitHubにて識別子「GHSA-hj8m-9fhf-v7jp」が割り振られている。6月30日の時点でCVE番号は示されていない。概念実証が公開されている。

開発者は「同0.25.3」にて脆弱性を修正した。脆弱性を受けるインスタンスをホストしている場合は、できるだけ早くアップデートするよう呼びかけられている。クラウドサービスである「Fief Cloud」については、すでにパッチが適用済みだという。

（Security NEXT - 2023/06/30 ）ツイート