OAuth Callback Missing Hardened TLS Configuration
@andrewmusselman ci sta già lavorando.
Dal 24/4/2026.
Valutazione
Questa issue non è ancora stata valutata.
Descrizione
Issue: FINDING-068 - OAuth Callback Missing Hardened TLS Configuration
Labels: bug, security, priority:medium, asvs-level:L2
ASVS Level(s): [L2-only]
Description:
Summary
The OAuth callback endpoint creates a plain aiohttp.ClientSession instead of using create_secure_session(), missing TLS 1.2+ enforcement, explicit certificate verification, hostname checking, and secure cipher suite selection. This creates a potential man-in-the-middle vulnerability in the OAuth token exchange flow.
Details
Affected Files and Lines:
src/asfquart/generics.py:98- Plain ClientSession without hardened TLS
The OAuth token exchange uses default TLS settings instead of the application's hardened configuration.
Recommended Remediation
Use create_secure_session() for hardened TLS configuration:
async with util.create_secure_session(
timeout=aiohttp.ClientTimeout(sock_read=15)
) as session:
rv = await session.get(OAUTH_URL_CALLBACK % encoded_code)
Acceptance Criteria
- Hardened session used
- TLS 1.2+ enforced
- Certificate verification enforced
- Hostname checking enforced
- Integration test verifies configuration
- Unit test verifying the fix
References
- Source reports: L2:1.3.6.md
- Related findings: FINDING-067
- ASVS sections: 1.3.6
Priority
Medium
- Lingua principale
- Python
- Stelle
- 7
- Fork
- 13
- Metriche di merge delle PR
- Nessuna PR unita negli ultimi 30g
Preparare l'ambiente
Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di apache/infrastructure-asfquart
-
bug priority
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
-
documentation
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
-
Document OAuth callback consistency rulesForse già presa @Marrshal15 l’ha presa 11 giorni fa. Apertadocumentation
Difficoltà 2/5 1-3 ore Idoneità per principianti 74/100
apache/infrastructure-asfquart#126 · 1 commento ·
-
ASVS priority
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
apache/infrastructure-asfquart#85 · 1 commento ·
-
Triage and track asfquart issuesForse già presa @sbp l’ha presa 10 giorni fa. Aperta
apache/infrastructure-asfquart#134 · 1 assegnatario ·
Tutte le issue di apache/infrastructure-asfquart
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
huggingface/sentence-transformers#4186 ·
I maintainer di solito rispondono entro 5 giorni
-
documentation
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 92/100
QuantEcon/QuantEcon.py#988 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
fabriziosalmi/certmate#1247 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
I maintainer di solito rispondono entro 1 giorno
-
documentation good first issue
Difficoltà 2/5 Mezza giornata Idoneità per principianti 72/100
sujithputta02/Esapay#13 ·