آسیب‌پذیری جدیدی در پروژه Octo STS (نسخه‌های پیش از 0.11.2) شناسایی شده است که می‌تواند منجر به افشای اطلاعات حساس مربوط به تنظیمات سیاست‌های اعتماد (Trust Policy) شود.
جزئیات فنی آسیب‌پذیری
در این آسیب‌پذیری، متد TrustPolicy.CheckToken در صورت عدم تطابق توکن OIDC با سیاست‌های تعیین‌شده، مقادیر حساس شامل issuer، subject، audience و همچنین الگوهای claim_pattern و عبارات باقاعده (Regular Expressions) را در پیام‌های خطای PermissionDenied بازمی‌گرداند. این خطاها توسط کامپوننت Exchange بدون هیچ‌گونه تغییر و به صورت مستقیم (verbatim) به فراخوان‌کننده ارسال می‌شوند.
علاوه بر این، فرآیند Exchange پیش از بررسی اعتبار توکن، اقدام به انتخاب نصب‌کننده GitHub App می‌کند. این موضوع باعث می‌شود که خطاهای مربوط به تعیین app یا app_pattern نیز به کاربر بازگردانده شود که می‌تواند اطلاعات بیشتری از ساختار امنیتی سیستم را فاش کند.
توصیه امنیتی
- کاربران باید بلافاصله پروژه Octo STS خود را به نسخه 0.11.2 یا بالاتر به‌روزرسانی کنند.
