better-auth において、OAuthのサインイン状態値がマジックリンクのトークンとして誤って受け付けられる不適切な認証の脆弱性が存在する。マジックリンクプラグインとソーシャルログインまたは汎用OAuthサインインが有効な環境において、攻撃者は任意のメールアドレスでOAuthサインインを開始し、その結果得られる状態値を使用して、メールアドレスの所有権を証明することなく、該当するユーザーとしてマジックリンクサインインを完了させることが可能である。
対象ソフト
better-auth は、TypeScript向けに開発されたモダンな認証・認可ライブラリであり、Webアプリケーションにおけるユーザー認証やソーシャルログイン機能の実装に広く利用されている。
影響
認証されていない攻撃者が、既知のメールアドレスを持つユーザーのセッションを不正に取得し、アカウントの全権限でアクセスすることが可能になる。また、マジックリンクの新規登録が有効な場合は、メールアドレスが未検証であるにもかかわらず検証済みとしてマークされたアカウントを作成され、セッションを乗っ取られる恐れがある。
対応策
better-auth を 1.7.7 以降にアップグレードすること。また、インストールされている関連アダプター、プラグイン、統合機能を一緒に更新し、修正リリースまでの暫定的な回避策として account.storeStateStrategy を cookie に設定する、あるいはマジックリンクやOAuthの機能を無効化すること。
