プロジェクト

全般

プロフィール

Backport(バックポート) #3706

OAuth のアクセストークンを取得していくる際にシークレットキーを用いた署名を検証できない

isao sano約3年前に追加. 10ヶ月前に更新.

ステータス:
Fixed(完了)
優先度:
Normal(通常)
担当者:
対象バージョン:
開始日:
2012-10-16
期日:
進捗率:

100%


説明

概要

OAuth のアクセストークンを取得していくる際にシークレットキーを用いた署名を検証できない.
クライアントは通常アクセストークンを取得してくる際に,事前に生成されているリクエストトークンとリクエストトークンのシークレットを用いて署名を行なう.しかし,クライアント側で正しいシークレットを用いた署名の実装を行なっていても,署名の検証に失敗してアクセストークンが取得できない.

原因

サーバ側では下記コード部のように,リクエストトークンを取得してくる際にシークレット部分を空文字列としており,このトークンオブジェクトを用いて署名を検証してしまう.
そのため,おそらくシークレットが空文字列であるトークンオブジェクトとして署名の検証を行なってしまうとおもわれるため,クライアントの実装がシークレットを空にするようになっている場合には成功するものと思われる.
(コードは 3.6.6 のもの)

lib/action/opOAuthTokenAction.class.php 86 行目

 75   public function executeAccessToken(sfWebRequest $request)
 76   {
 77     require_once 'OAuth.php';
 78 
 79     $authRequest = OAuthRequest::from_request();
 80     $requestToken = $authRequest->get_parameter('oauth_token');
 81     $this->information = $this->getTokenTable()->findByKeyString($requestToken);
 82     $this->forward404Unless($this->information);
 83     $this->forward404Unless($this->information->getIsActive());
 84     $this->forward404Unless($this->information->getVerifier() === $authRequest->get_parameter('oauth_verifier'));
 85 
 86     $token = $this->getServer()->fetch_access_token($authRequest);
 87 
 88     $this->information->delete();
 89 
 90     $this->getResponse()->setContent((string)$token);
 91 
 92     return sfView::NONE;
 93   }

lib/vendor/OAuth/OAuth.php 470 行目

460   /**
461    * process an access_token request
462    * returns the access token on success
463    */
464   public function fetch_access_token(&$request) {
465     $this->get_version($request);
466 
467     $consumer = $this->get_consumer($request);
468 
469     // requires authorized request token
470     $token = $this->get_token($request, $consumer, "request");
471 
472 
473     $this->check_signature($request, $consumer, $token);
474 
475     $new_token = $this->data_store->new_access_token($token, $consumer);
476 
477     return $new_token;
478   }

lib/vendor/OAuth/OAuth.php 548 行目

543   /**
544    * try to find the token for the provided request's token key
545    */
546   private function get_token(&$request, $consumer, $token_type="access") {
547     $token_field = @$request->get_parameter('oauth_token');
548     $token = $this->data_store->lookup_token(
549       $consumer, $token_type, $token_field
550     );
551     if (!$token) {
552       throw new OAuthException("Invalid $token_type token: $token_field");
553     }
554     return $token;
555   }

lib/util/opOAuthDataStore.class.php 110 行目

105   public function lookup_token($consumer, $token_type, $token)
106   {
107     $tokenRecord = $this->getTokenTable()->findByKeyString($token, $token_type, $this->queryTemplate);
108     if ($tokenRecord)
109     {
110       $token = new OAuthToken($tokenRecord->getKeyString(), '');
111       if ('request' !== $token_type)
112       {
113         $token->secret = $tokenRecord->getSecret();
114       }
115       return $token;
116     }
117 
118     return null;
119   }

修正案

lib/util/opOAuthDataStore.class.php 110 行目の空文字列のシークレットではないものを返す.
ただし,そのまま修正してしまうと既存の OpenPNE OAuth クライアントに影響が出るため,シークレットがある場合とない場合での署名の検証を行い,メジャーバージョンアップ時にシークレットがない場合の検証を取り除くという対応が考えられる.
この対応を行う場合にはメジャーバージョンアップ時に確認できるチケットを作成しておく必要が有る.


関連するチケット

コピー元 OpenPNE 3 - Bug(バグ) #3232: OAuth のアクセストークンを取得していくる際にシークレットキーを用いた署名を検証できない Won't fix(対応せず) 2012-10-16

関係しているリビジョン

リビジョン 87310218 (差分)
isao sano約3年前に追加

(fixes #3706,BP from #3232) fixed to get secret key when request token was looked up in datastore

リビジョン f74bb858
kaoru nishizoe10ヶ月前に追加

Merge pull request #207 from isaosano/t-3706

(fixes #3706,BP from #3232) fixed to get secret key when request token was looked up in datastore

履歴

#1 isao sano約3年前に更新

  • コピー元 Bug(バグ) #3232: OAuth のアクセストークンを取得していくる際にシークレットキーを用いた署名を検証できない を追加

#2 isao sano約3年前に更新

  • ステータスPending Review(レビュー待ち) から New(新規) に変更
  • 担当者 を削除 (Yuya Watanabe)
  • 進捗率50 から 0 に変更

#3 isao sano約3年前に更新

  • ステータスNew(新規) から Accepted(着手) に変更

#4 isao sano約3年前に更新

  • ステータスAccepted(着手) から Pending Review(レビュー待ち) に変更
  • 進捗率0 から 50 に変更

https://github.com/openpne/OpenPNE3/pull/207
にてプルリクエストしました

#5 Shinichi Urabe約3年前に更新

  • 担当者isao sano にセット

担当を設定ください(差し戻し対応が誰か不明になるため)

#6 isao sano約3年前に更新

  • 対象バージョンOpenPNE 3.8.14 から OpenPNE 3.8.x に変更

#7 kaoru nishizoe約2年前に更新

  • 対象バージョンOpenPNE 3.8.x から OpenPNE 3.8.18 に変更

#8 kaoru nishizoe約2年前に更新

  • 対象バージョンOpenPNE 3.8.18 から OpenPNE 3.8.x に変更

#9 kaoru nishizoe約2年前に更新

  • 対象バージョンOpenPNE 3.8.x から OpenPNE 3.8.19 に変更

#10 kaoru nishizoeほぼ2年前に更新

  • 対象バージョンOpenPNE 3.8.19 から OpenPNE 3.8.x に変更

#11 kaoru nishizoe1年以上前に更新

  • 対象バージョンOpenPNE 3.8.x から OpenPNE 3.8.21 に変更

#12 Youichi Kimura1年以上前に更新

  • ステータスPending Review(レビュー待ち) から Pending Testing(テスト待ち) に変更
  • 進捗率50 から 70 に変更

レビューOKです

#13 kaoru nishizoe1年以上前に更新

  • 対象バージョンOpenPNE 3.8.21 から OpenPNE 3.8.x に変更

#14 kaoru nishizoe約1年前に更新

  • 対象バージョンOpenPNE 3.8.x から OpenPNE 3.8.22 に変更

#15 isao sano約1年前に更新

  • 対象バージョンOpenPNE 3.8.22 から OpenPNE 3.8.x に変更

#16 kaoru nishizoe10ヶ月前に更新

  • 対象バージョンOpenPNE 3.8.x から OpenPNE 3.8.23 に変更

#17 isao sano10ヶ月前に更新

  • ステータスPending Testing(テスト待ち) から Pending Merge(マージ待ち) に変更
  • 進捗率70 から 80 に変更

試験完了しました。
問題ありません。

#18 kaoru nishizoe10ヶ月前に更新

  • ステータスPending Merge(マージ待ち) から Fixed(完了) に変更
  • 進捗率80 から 100 に変更

マージしました

他の形式にエクスポート: Atom PDF