Apache Allura уязвима к повторной атаке OAuth1 — CVE-2026-92120

Apache Software Foundation сообщила об уязвимости в платформе совместной разработки Apache Allura. Проблема связана с механизмом аутентификации OAuth1 и классифицируется как атака повторного воспроизведения запросов (OAuth1 Request Replay Attack). Информация опубликована в записи CVE-2026-92120.

Подробности

Уязвимость затрагивает Apache Allura во всех версиях вплоть до 1.21.0 включительно. Суть проблемы — в недостаточной защите от повторного использования ранее перехваченных OAuth1-запросов. При атаке повторного воспроизведения злоумышленник, получивший доступ к легитимному запросу (например, через перехват трафика или компрометацию промежуточного узла), может отправить его повторно и добиться выполнения операции от имени жертвы. OAuth1 традиционно полагается на такие механизмы защиты, как nonce (уникальный одноразовый идентификатор запроса) и timestamp (метка времени). Если сервер не проверяет уникальность nonce или не ограничивает временное окно действия запроса, повторная отправка становится возможной. Именно такой сценарий реализуется в Apache Allura до версии 1.21.0. Конкретные значения CVSS в опубликованной записи CVE не указаны, поэтому точную количественную оценку критичности привести нельзя. Тем не менее, поскольку уязвимость связана с обходом механизмов аутентификации, её следует рассматривать как серьёзную угрозу для инсталляций, использующих OAuth1-авторизацию.

Что делать

Apache Software Foundation рекомендует обновить Apache Allura до версии 1.22.0, в которой уязвимость устранена. Это основной и наиболее надёжный способ защиты. Если немедленное обновление невозможно, стоит рассмотреть временные меры:

• ограничить доступ к инстансу Allura из недоверенных сетей;
• включить шифрование трафика (HTTPS) для снижения риска перехвата запросов;
• усилить мониторинг подозрительной активности, связанной с повторяющимися или аномальными OAuth1-запросами;
• по возможности пересмотреть используемые механизмы аутентификации.

Важно отметить, что митигации не заменяют установку патча — они лишь снижают вероятность эксплуатации до момента обновления. Итог: уязвимость CVE-2026-92120 в Apache Allura позволяет проводить повторные атаки на OAuth1-запросы и затрагивает версии до 1.21.0 включительно. Единственное надёжное решение — обновление до версии 1.22.0. Администраторам, использующим Apache Allura, рекомендуется провести инвентаризацию инсталляций и как можно скорее применить исправление.

Источник: CVE Project (cvelistV5)