CVE-2026-56425

Azure Active Directory (AAD) kimlik doğrulama uygulaması, OAuth 2.0 yetkilendirme akışında, saldırganların protokol tarafından sağlanan önemli güvenlik garantilerini atlatmasına izin verebilecek birden fazla zayıflık içermekteydi. Uygulama, OAuth state parametresi olarak PHP oturum tanımlayıcısını (session_id()) kullanıyordu. Oturum tanımlayıcıları uzun ömürlü kimlik doğrulama bilgileri olduğundan, bunların OAuth yönlendirme URL'lerinde ifşa edilmesi; tarayıcı geçmişi, HTTP Referer başlıkları, ters proxy'ler, erişim günlükleri veya kimlik doğrulama akışına dahil olan üçüncü taraf altyapılar aracılığıyla geçerli oturum belirteçlerinin sızdırılmasına neden olabilirdi. Sızan oturum tanımlayıcısı bir saldırgan tarafından ele geçirilirse, potansiyel olarak oturum çalma (session hijacking) için kullanılabilirdi. Ek olarak uygulama, başarılı kimlik doğrulamanın ardından oturum tanımlayıcısını yeniden oluşturmuyordu; bu durum, kimliği doğrulanmış oturumları, bir saldırganın kurbanı giriş yapmadan önce bilinen bir oturum tanımlayıcısını kullanmaya zorladığı ve daha sonra kimlik doğrulama sonrası bu tanımlayıcıyı yeniden kullandığı oturum sabitleme (session fixation) saldırılarına karşı savunmasız bırakıyordu. OAuth state değeri ayrıca özel, tek kullanımlık bir nonce olarak uygulanmamıştı. Bu durum CSRF korumalarını zayıflatmış ve OAuth geri çağırma sürecine karşı yeniden oynatma (replay) saldırısı riskini artırmıştır. Kimlik doğrulama akışı ayrıca yapılandırılan OAuth yönlendirme URI'si için HTTPS zorunluluğunu uygulamada başarısız olmuştur. HTTPS olmayan bir yönlendirme URI'si kullanıldığında, OAuth yetkilendirme kodları ve erişim belirteçleri ağ üzerinden düz metin olarak iletilebilir ve hassas kimlik bilgileri ağ saldırganlarına ifşa olabilirdi. Son olarak, saldırgan kontrollü GET parametrelerini içeren OAuth hata yanıtları olduğu gibi günlüğe kaydediliyordu. Bir saldırgan, kontrol karakterleri veya hazırlanmış günlük içeriği enjekte ederek günlük sahteciliği (log forging), günlük enjeksiyonu (log injection) veya denetim kayıtlarının bozulmasına yol açabilirdi. Düzeltme şunları getirir: * Özel kriptografik rastgele bir OAuth state değeri. * Tek kullanımlık state doğrulama ve geçersiz kılma. * hash_equals() kullanarak sabit zamanlı state karşılaştırması. * Başarılı kimlik doğrulamanın ardından oturum tanımlayıcı rotasyonu. * Yalnızca HTTPS yönlendirme URI'lerinin zorunlu kılınması. * OAuth hata parametrelerinin temizlenmiş ve uzunluk sınırlandırmalı şekilde günlüğe kaydedilmesi. AAD Authentication Plugin (OAuth 2.0 / Azure Active Directory entegrasyonu)