CVE-2024-25618

Mastodon, ActivityPub tabanlı ücretsiz ve açık kaynaklı bir sosyal ağ sunucusudur. Mastodon, yapılandırılmış kimlik doğrulama sağlayıcılarından (CAS, SAML, OIDC) gelen yeni kimliklerin, aynı e-posta adresine sahip mevcut yerel kullanıcılara eklenmesine izin verir. Kimlik doğrulama sağlayıcısının e-posta adresi değişikliğine izin vermesi veya birden fazla kimlik doğrulama sağlayıcısının yapılandırılması durumunda bu durum olası bir hesap ele geçirme ile sonuçlanır. Bir kullanıcı harici bir kimlik doğrulama sağlayıcısı aracılığıyla ilk kez giriş yaptığında, Mastodon mevcut bir hesabı bulmak için sağlayıcı tarafından iletilen e-posta adresini kontrol eder. Ancak, yalnızca e-posta adresinin kullanılması, kimlik doğrulama sağlayıcısının bir hesabın e-posta adresini değiştirmesine izin vermesi durumunda Mastodon hesabının anında ele geçirilebileceği anlamına gelir. Harici kimlik doğrulama sağlayıcıları üzerinden giriş yapan tüm kullanıcılar etkilenmektedir. Harici kimlik doğrulama sağlayıcısının hatalı davranmasını da gerektirdiği için önem derecesi orta düzeydedir. Bununla birlikte, bazı tanınmış OIDC sağlayıcıları (Microsoft Azure gibi), doğrulanmamış e-posta değişikliklerine yanlışlıkla izin verilmesini oldukça kolaylaştırmaktadır. Ayrıca, OpenID Connect dinamik istemci kaydına da izin vermektedir. Bu sorun 4.2.6, 4.1.14, 4.0.14 ve 3.5.18 sürümlerinde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.