Passkey認証におけるアカウント乗っ取り - Non Discoverable Credentialフローとの混在に起因する脆弱性(CVE-2025-26788)解説 - GMO Flatt Security Blog

はじめに こんにちは、GMO Flatt Security株式会社 セキュリティエンジニアの小武です。 先日公開した記事「Passkey認証の実装ミスに起因する脆弱性・セキュリティリスク」では、「8. Non Discoverable Credentialのフローとの混在」において、StrongKey FIDO Serverのアカウント乗っ取りが可能な脆弱性について言及しました。StrongKey FIDO Serverはオープンソースで提供されているFIDOサーバー製品です。 この脆弱性は、様々なセキュリティ的利点を持つPasskey認証であっても、実装ミスによって脆弱になり得るということを示しています。本記事では、この脆弱性がソースコードレベルでどのような問題を含み、どのように修正されたのかを詳しく解説します。 また、GMO Flatt SecurityはPasskey認証に特化した脆

[inabajunmr]

ユーザー指定の場合は allowCredentials に指定した credentialId が実際に返ってきたかどうか見るだけで防げそうだけどそもそも allowCredentials 未指定のケースなのかな 対象ユーザー以外のパスキー表示されちゃって不便そうだけど

[rawwell]

“Passkey認証の場合(discoverableCredがTrue)、Credential IDから取得したレコードに紐づくユーザー名を取得しています。「https://blog.flatt.tech/entry/passkey_security」で説明している「7. ユーザーの検証不備」には不備がないと言えます。

[m0um00n]

ノン ディスカヴァラブル クリデンシャル