Der führende Identity- und Access-Management-Anbieter Okta hat eine kritische Sicherheitslücke in seinem DelAuth-System für AD/LDAP-Authentifizierung aufgedeckt. Die Schwachstelle ermöglichte potenziellen Angreifern, den Authentifizierungsprozess durch die Verwendung überlanger Benutzernamen zu umgehen.
Technische Details der Sicherheitslücke
Die Verwundbarkeit tritt spezifisch bei Benutzernamen auf, die länger als 52 Zeichen sind. Dies mag zunächst ungewöhnlich erscheinen, ist jedoch besonders bei der Verwendung von E-Mail-Adressen als Benutzerkennung durchaus realistisch. Der Kernmechanismus der Schwachstelle basiert auf der Interaktion zwischen dem bcrypt-Hashing-Algorithmus und dem Cache-Schlüssel-System, das aus einer Kombination von Benutzer-ID, Benutzername und Passwort generiert wird.
Voraussetzungen für erfolgreiche Exploitation
Für eine erfolgreiche Ausnutzung der Sicherheitslücke müssen mehrere kritische Bedingungen erfüllt sein:
- Deaktivierte Multi-Faktor-Authentifizierung
- Existenz eines vorher zwischengespeicherten erfolgreichen Login-Versuchs
- Nicht verfügbarer oder überlasteter AD/LDAP-Agent
Technische Analyse des Sicherheitsproblems
Die Schwachstelle resultiert aus einer spezifischen Eigenschaft des bcrypt-Algorithmus, der bei der Verarbeitung von Eingabedaten eine maximale Länge aufweist. Bei Überschreitung dieser Längengrenze durch den Benutzernamen akzeptiert das System beliebige Passwörter, was eine erhebliche Sicherheitslücke darstellt.
Zeitlicher Ablauf und Behebung
Die Entdeckung der Sicherheitslücke erfolgte am 30. Oktober 2024, woraufhin Okta unmittelbar Gegenmaßnahmen einleitete. Rückblickend wurde festgestellt, dass die Verwundbarkeit seit dem 23. Juli 2024 im System existierte. Bisher liegen keine bestätigten Berichte über erfolgreiche Ausnutzungen vor.
Sicherheitsexperten empfehlen allen Okta-Nutzern dringend die Aktivierung der Multi-Faktor-Authentifizierung sowie eine gründliche Überprüfung der Sicherheitsprotokolle seit Juli 2024. Besondere Aufmerksamkeit sollte dabei Login-Versuchen mit ungewöhnlich langen Benutzernamen gewidmet werden. Zusätzlich wird eine regelmäßige Überprüfung der Sicherheitskonfigurationen und die zeitnahe Implementierung aller Sicherheitsupdates dringend angeraten.
