OktaのWindows版パスワードレス機能に脆弱性 - アップデートで修正済み

OktaがWindows向けに提供している認証エージェント「Okta Verify for Windows」の一部認証機能に脆弱性が明らかとなった。アップデートで修正が行われている。

現地時間11月1日にアドバイザリを公開し、「Okta Device Access」のパスワードレスログイン機能において、認証情報が漏洩する脆弱性「CVE-2024-9191」について明らかにしたもの。

同社がペネトレーションテストを行った際に発見した。「同5.3.2」から「同5.0.2」までが影響を受ける。パスワードレス機能を利用していない場合や、Windows以外のプラットフォームについては影響を受けない。

脆弱性を悪用するにはデバイスに対するアクセス権限を取得する必要があるが、多要素認証（MFA）におけるパスワードレスログインに関連付けられたパスワードが窃取されるおそれがある。

同社は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.1」とする一方、米国立標準技術研究所（NIST）による脆弱性データベース「NVD」では「7.8」と評価した。重要度は「高（High）」とレーティングされている。

同社は現地時間9月20日にリリースした早期アクセス版の「同5.3.3」で脆弱性を修正。10月25日には同バージョンのGA版をリリースしており、同バージョン以降に更新するよう呼びかけている。

（Security NEXT - 2024/11/07 ）ツイート