Уязвимость обхода аутентификации существует в API консоли Xerj. Этот недостаток позволяет существующим действительным токенам создавать независимые последующие учетные данные. Он обходит обязательные требования к ключу доступа при выдаче токена. Система Xerj преобразует различные типы сеансов в универсальный объект аутентификации. Обработчик создания токенов не проверяет, был ли сеанс защищен ключом доступа. Злоумышленник может использовать это, получив действительный токен API. Затем он может напрямую вызвать конечную точку создания токена. Это позволяет создавать новые учетные данные с тем же уровнем доступа. Xerj не имеет иерархического отзыва, поэтому отзыв родительского токена не влияет на дочерние токены. Это предоставляет злоумышленникам постоянный несанкционированный доступ, обходя многофакторные средства контроля. Если токен владельца учетной записи скомпрометирован, последующий токен сохраняет административные полномочия. Злоумышленник может использовать это для создания и управления независимым ключом доступа для постоянного контроля экземпляра. Официальный патч недоступен, так как с поставщиком не удалось связаться. Пользователям следует отслеживать репозиторий GitHub на предмет обновлений и установить исправление, когда оно будет выпущено.