概述
CVE-2025-64099是一个影响OpenAM（开放访问管理解决方案）的安全漏洞。在16.0.0之前的版本中，当启用"claims_parameter_supported"参数时，攻击者可以利用"oidc-claims-extension.groovy"脚本向id_token或user_info中的声明注入任意值。
漏洞详情
漏洞描述
在授权功能请求中，可以注入包含JSON文件的声明参数。该JSON文件允许攻击者自定义"id_token"和"user_info"文件返回的声明。根据客户端使用声明的方式，这可能导致多种安全漏洞。
例如，如果某些客户端依赖电子邮件字段来识别用户，攻击者可以选择任意电子邮件地址，从而冒充任何身份。
技术细节
- 漏洞类型：声明注入
- 受影响组件：oidc-claims-extension.groovy脚本
- 攻击向量：通过OIDC声明参数注入恶意JSON
- 影响范围：OpenAM 16.0.0之前版本
解决方案
修复措施
- 升级版本：将OpenAM升级到16.0.0或更高版本
- 配置检查：验证’claims_parameter_supported’设置
- 客户端审查：检查客户端对ID令牌声明的使用情况
- 监控措施：监控未经授权的声明修改行为
CVSS评分
- 评分：8.1（高危）
- 版本：CVSS 4.0
- 攻击向量：网络
- 攻击复杂度：低
- 权限要求：无
- 用户交互：无
关联信息
CWE分类
- CWE-74：输出中特殊元素的不当中和（注入）
参考链接
时间线
- 发布日期：2025年11月12日
- 最后修改：2025年11月12日
- 远程利用：是
该漏洞凸显了在身份管理系统中正确处理用户输入的重要性，特别是涉及声明和令牌生成的关键组件。