「Okta」にポリシー回避の脆弱性 - 修正を実施、ログの確認を

Oktaは、同社が提供する「Okta Classic」アプリケーションに特定の条件下でサインオンポリシーをバイパスされる脆弱性が判明し、修正したことを明らかにした。脆弱性の悪用がなかったか、ログを確認するよう求めている。

同社によると、悪用には正規の認証情報が必要となるが、アプリケーション固有のサインオンポリシーに設定された条件をバイパスできる脆弱性が判明したという。

グローバルセッションポリシー外で設定されたネットワークゾーンやデバイスタイプの制限など特定の条件が無視されるおそれがある。

同脆弱性は、現地時間7月17日にリリースされたバージョンに存在。9月27日に脆弱性が判明し、10月4日にすべての本番環境やプレビュー環境に対し、パッチを適用した。

同社は脆弱性が存在した7月17日から10月4日までに、デバイスタイプが「不明」とされるユーザーエージェントからの予期しない認証が行われていないか、ログより確認するよう利用者に求めている。

（Security NEXT - 2024/10/07 ）ツイート