CVE-2026-56425

Azure Active Directory (AAD) autentifikasiyası implementasiyasının OAuth 2.0 avtorizasiya axınında protokolun təmin etdiyi mühüm təhlükəsizlik zəmanətlərindən yan keçməyə imkan verə bilən bir neçə zəiflik mövcud idi. Tətbiq OAuth state parametri kimi PHP sessiya identifikatorundan (session_id()) istifadə edirdi. Sessiya identifikatorları uzunömürlü autentifikasiya etimadnamələri olduğundan, onların OAuth yönləndirmə URL-lərində açıqlanması etibarlı sessiya tokenlərinin brauzer tarixçəsi, HTTP Referer başlıqları, əks proxy-lər, giriş jurnalları və ya autentifikasiya axınına cəlb olunan üçüncü tərəf infrastrukturu vasitəsilə sızmasına səbəb ola bilərdi. Əldə edildiyi halda, sızmış sessiya identifikatoru potensial olaraq sessiya oğurlanması üçün istifadə edilə bilərdi. Bundan əlavə, implementasiya uğurlu autentifikasiyadan sonra sessiya identifikatorunu yenidən yaratmırdı və bu, autentifikasiya olunmuş sessiyaları sessiya fiksasiyası hücumlarına həssas vəziyyətdə qoyurdu; bu hücumlarda təcavüzkar qurbanı girişdən əvvəl məlum sessiya identifikatorundan istifadə etməyə məcbur edir və sonradan autentifikasiyadan sonra həmin identifikatordan yenidən istifadə edir. OAuth state dəyəri həmçinin xüsusi, birdəfəlik nonce kimi tətbiq edilməmişdi. Bu, CSRF müdafiəsini zəiflədir və OAuth callback prosesinə qarşı təkrar oynatma hücumları riskini artırırdı. Autentifikasiya axını həmçinin konfiqurasiya edilmiş OAuth yönləndirmə URI-si üçün HTTPS-i tətbiq etmirdi. Əgər HTTPS olmayan yönləndirmə URI-si istifadə edilsəydi, OAuth avtorizasiya kodları və giriş tokenləri şəbəkə üzərindən açıq mətnlə keçə bilər və həssas etimadnamələri şəbəkə təcavüzkarlarına açıqlaya bilərdi. Nəhayət, təcavüzkar tərəfindən idarə olunan GET parametrlərini ehtiva edən OAuth xəta cavabları olduğu kimi jurnala yazılırdı. Təcavüzkar idarəetmə simvolları və ya hazırlanmış jurnal məzmunu yeridərək jurnal saxtalaşdırmasına, jurnal inyeksiyasına və ya audit qeydlərinin korlanmasına səbəb ola bilərdi. Düzəliş aşağıdakıları təqdim edir: * Xüsusi kriptoqrafik təsadüfi OAuth state dəyəri. * Birdəfəlik state validasiyası və etibarsızlaşdırılması. * hash_equals() istifadə edilərək sabit vaxtlı state müqayisəsi. * Uğurlu autentifikasiyadan sonra sessiya identifikatorunun rotasiyası. * Yalnız HTTPS yönləndirmə URI-lərinin tətbiqi. * OAuth xəta parametrlərinin təmizlənmiş və uzunluqla məhdudlaşdırılmış jurnala yazılması. AAD Authentication Plugin (OAuth 2.0 / Azure Active Directory integration)