CVE-2026-40946: Oxia: bypass da validação de audiência de tokens OIDC via SkipClientIDCheck
As versões do Oxia anteriores à 0.16.2 definem SkipClientIDCheck como true na configuração do verificador go-oidc, o que desativa a verificação padrão de audiência dos tokens OIDC. Por isso, tokens emitidos para serviços não relacionados pelo mesmo emissor OIDC podem ser aceitos. O registro informa pontuação CVSS 9.2 e indica que a correção está na 0.16.2.
Visão geral
O Oxia é um sistema de armazenamento de metadados e coordenação. Segundo o aviso do GitHub citado no registro, o provedor de autenticação OIDC define incondicionalmente SkipClientIDCheck como true na configuração do verificador go-oidc, o que desativa a verificação padrão da reivindicação de audiência (aud) no nível da biblioteca. A fraqueza é classificada como CWE-287 (Autenticação Inadequada). Veja o aviso do GitHub GHSA-fhvp-9hcj-6m33.
Impacto
- Tokens emitidos para serviços não relacionados pelo mesmo emissor OIDC podem ser aceitos pelo Oxia.
- O registro atribui pontuação CVSS 9.2, com severidade rotulada como crítica, e indica alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável.
Produtos e versões afetados
- Oxia (Oxia-db Oxia): versões anteriores à 0.16.2.
- O registro informa que a correção está na 0.16.2.
Status de exploração
A CVE não consta no catálogo KEV da CISA no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como none e automatizável como no.
Correção e mitigação
- Atualize o Oxia para a 0.16.2 ou posterior, conforme indicado no registro e no aviso referenciado.
- Enquanto a atualização não for aplicada, revise a configuração OIDC, confirme quais emissores de tokens e aplicações clientes são confiáveis e limite quais emissores podem alcançar o Oxia.
- Verifique se o emissor OIDC também emite tokens para outros serviços e se esses tokens devem ser aceitos pelo Oxia.
Orientação para detecção
- Analise os logs de autenticação em busca de requisições aceitas com tokens de aplicações clientes ou audiências inesperadas.
- Monitore acessos feitos por identidades que não pertencem ao conjunto esperado de cargas de trabalho do Oxia.
Limitações das informações disponíveis
- O registro traz uma lista de correções vazia; a versão corrigida foi obtida da descrição e das versões permitidas.
- O registro não descreve ataques observados nem uma prova de conceito pública.
- A data do EPSS no registro (2026-10-23) é posterior à data de publicação, portanto deve ser tratada como não verificada.
- A versão da biblioteca go-oidc usada pelo Oxia não é informada.
Perguntas frequentes
O que a vulnerabilidade do Oxia permite?
Segundo o registro, tokens emitidos para serviços não relacionados pelo mesmo emissor OIDC podem ser aceitos pelo Oxia, pois a verificação de audiência está desativada.
Quais versões do Oxia são afetadas?
O registro indica como afetadas as versões do Oxia anteriores à 0.16.2 e informa que a correção está na 0.16.2.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não lista a CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.