Okta: 52文字以上のユーザネームで認証バイパスできる脆弱性 - Qiita

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? OktaのAD/LDAP DelAuthでユーザー名が52文字以上だとパスワード不要で認証できてしまう脆弱性があったそうです。 Oktaはある程度背景を説明してくれてます。 キャッシュ キーの生成には Bcrypt アルゴリズムが使用され、userId + username + password の組み合わせ文字列がハッシュ化されます。特定の状況下では、これにより、以前の成功した認証の保存されたキャッシュ キーを持つユーザー名のみを提供することで、ユーザーが認証できる可能性があります。 注意:この脆弱性の前提条件は、ユーザーに対してキャ