Vulnerabilidade crítica no OneLogin expõe segredos de aplicações OIDC

BR Defense Center (By River de Morais e Silva)
vulnerabilidade

Uma vulnerabilidade de alta severidade foi identificada na solução de Gestão de Identidade e Acesso (IAM) One Identity OneLogin, que pode expor segredos de cliente de aplicações OpenID Connect (OIDC) se explorada com sucesso. A falha, registrada como CVE-2025-59363, recebeu uma pontuação CVSS de 7.7 em 10.0 e é classificada como uma transferência incorreta de recursos entre esferas (CWE-669). Isso permite que um programa ultrapasse limites de segurança e acesse dados ou funções confidenciais sem autorização. De acordo com a Clutch Security, a vulnerabilidade permite que atacantes com credenciais API válidas enumerem e recuperem segredos de cliente para todas as aplicações OIDC dentro de um inquilino OneLogin. O problema decorre da configuração inadequada do endpoint de listagem de aplicações, que retorna dados além do esperado, incluindo os valores de client_secret. A exploração bem-sucedida dessa falha pode permitir que um invasor se passe por aplicações e acesse serviços integrados. A falta de restrições de IP e o controle de acesso baseado em funções (RBAC) ampliam o risco, permitindo que atacantes explorem a vulnerabilidade de qualquer lugar do mundo. A falha foi corrigida na versão 2025.3.0 do OneLogin, lançada em agosto de 2025, que tornou os valores de client_secret invisíveis. Não há evidências de que a vulnerabilidade tenha sido explorada ativamente.

Fonte: https://thehackernews.com/2025/10/onelogin-bug-let-attackers-use-api-keys.html

⚠️
BR DEFENSE CENTER: SECURITY BRIEFING
01/10/2025 • Risco: ALTO
VULNERABILIDADE

Vulnerabilidade crítica no OneLogin expõe segredos de aplicações OIDC

RESUMO EXECUTIVO
A vulnerabilidade CVE-2025-59363 no OneLogin pode permitir que atacantes acessem segredos de cliente OIDC, comprometendo a segurança das aplicações. A correção foi implementada, mas a exposição anterior representa um risco significativo para a conformidade e segurança das informações.

💼 IMPACTO DE NEGÓCIO

Financeiro
Potenciais perdas financeiras devido a acessos não autorizados e danos à reputação.
Operacional
Possibilidade de acesso não autorizado a aplicações e serviços integrados.
Setores vulneráveis
['Tecnologia da Informação', 'Serviços Financeiros', 'Saúde']

📊 INDICADORES CHAVE

Pontuação CVSS de 7.7 Indicador
CVE-2025-59363 Contexto BR
Sem evidências de exploração ativa Urgência

⚡ AÇÕES IMEDIATAS

1 Verificar se a versão 2025.3.0 do OneLogin está implementada.
2 Revisar e restringir o acesso às credenciais API e implementar controles de IP.
3 Monitorar acessos e atividades nas APIs para detectar comportamentos suspeitos.

🇧🇷 RELEVÂNCIA BRASIL

CISOs devem se preocupar com a segurança das identidades, pois falhas nesse nível podem comprometer toda a arquitetura de segurança da empresa.

⚖️ COMPLIANCE

Implicações diretas na LGPD, que exige proteção rigorosa de dados pessoais.
Status
mitigado
Verificação
alta
BR Defense Center

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).