CVE-2024-10327

Okta Verify for iOS 9.25.1 (beta) və 9.27.0 (beta daxil olmaqla) versiyalarında zəiflik iOS ContextExtension funksiyası vasitəsilə push bildirişlərinə cavabları qəbul edir və istifadəçinin seçimindən asılı olmayaraq autentifikasiyanın davam etməsinə imkan verir. İstifadəçi bildiriş bannerini uzun müddət basıb saxlayaraq seçim etdikdə, hər iki seçim autentifikasiyanın uğurla tamamlanmasına imkan verir. ContextExtension funksiyası iOS cihazlarında Okta Verify Push istifadə edilərkən mövcud olan bir neçə push mexanizmindən biridir. Zəifliyə məruz qalan axınlara aşağıdakılar daxildir: * İstifadəçiyə kilidli ekranda bildiriş göstərildikdə, istifadəçi bildirişi birbaşa basır və cihazın kilidini açmadan cavabını seçir; * İstifadəçiyə əsas ekranda bildiriş göstərildikdə və bildirişi aşağı dartıb cavabını seçdikdə; * Apple Watch birbaşa bildirişə cavab vermək üçün istifadə edildikdə. Bu zəiflik üçün ilkin şərt istifadəçinin Okta müştərisi Okta Classic istifadə edərkən Okta Verify-də qeydiyyatdan keçmiş olmasıdır. Bu, təşkilatın sonradan Okta Identity Engine-ə yüksəldilib-yüksəldilməməsindən asılı olmayaraq tətbiq edilir.