[B2C Mode] Web UI Security Issues
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 25/100
- issue の種類
- 機能追加
- 明瞭さ
- 説明が足りない
- 活発さ
- 停滞
- 技術スタック
- android, java
- 領域
- authentication, mobile, security
調査の方向性
ファイルやテストは指定されていません。まず Sample App を実行し、B2C Mode を選択して RUN USER FLOW を使い、露出している URL を再現します。次に Android Web UI 統合を追跡します。URL が報告どおりに露出しなくなるか、要求された WebView のカスタマイズまたは非表示動作が明確に定義され、検証されれば完了とします。
索引モデルが issue の本文から書いたものです。
説明
[B2C Mode] Web UI Security Issues
This issue is for a: (mark with an x)
- [ ] bug report -> please search issues before submitting
- [x] feature request
- [ ] documentation issue or request
- [ ] regression (a behavior that used to work and stopped in a new release)
Minimal steps to reproduce
- Start Sample App
- Select "B2C Mode"
- Click "RUN USER FLOW"
- Loading Web UI
Any log messages given by the failure
Expected/desired behavior
URL exposed, causing security issues
ex) https://fabrikamb2c.b2clogin.com/tfp/fabrikamb2c.onmicrosoft.com/b2c_1_susi/oAuth2/v2.0/authorize?x-client-CPU=**arm64-v8a**&response_type=code&x-client-Ver=1.5.9&code_challenge_method=S256&x-client-DM=**SM-N986N**&hsu=1&x-client-OS=30&x-client-SKU=MSAL.Android&client_id=#client_id#&login_hint=k%40nav.com&ui_locales=ko-kr&client-request-id=#client-request-id#&instance_aware=false&scope=https%3A%2F%2Ffabrikamb2c.onmicrosoft.com%2Fhelloapi%2Fdemo.read%20openid%20offline_access%20profile&redirect_uri=msauth%3A%2F%2Fcom.azuresamples.msalandroidapp%2F1wIqXSqBj7w%252Bh11ZifsnqwgyKrY%253D&state=YzE4YmM0YzAtNmQ1ZC00ZjMzLTlhMWUtNjg3NzhmOTQ1YzFiLTQ4MjJmMWQ3LTRhYWQtNDQ3Ni05MjcxLWEyZWU1NDYzM2RkYw&code_challenge=ygCZXOVy6zSTQhNUAJ0vOdmIu7WnYBSr4JjQGLOf0JE
OS and Version?
Android 5~11+
Versions
targetSdkVersion 26~ 30 +
Mention any other details that might be useful
Currently, the Web UI has a security vulnerability because the URL is exposed as it is.
It is possible to customize the webview, or I need the ability to hide the URL or function.
Thanks! We'll be in touch soon.
- 主要言語
- Java
- スター
- 34
- フォーク
- 30
- PR マージ指標
- 30日以内にマージされた PR はありません
環境構築
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
Azure-Samples/ms-identity-android-java のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 55/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 35/100
Azure-Samples/ms-identity-android-java#57 · コメント 2 件 ·
-
ADAL packagesオープン
難易度 2/5 1〜3時間 初心者へのやさしさ 35/100
-
難易度 4/5 3〜5日 初心者へのやさしさ 20/100
-
難易度 5/5 1週間以上 初心者へのやさしさ 15/100
Azure-Samples/ms-identity-android-java の issue をすべて見る
似ている issue
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 84/100
メンテナーはふだん 1 日以内に返信
-
ci-failure-cause test-failure
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
nextcloud/notes-android#3367 ·
メンテナーはふだん 1 日以内に返信
-
Feature
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
MuntashirAkon/AppManager#2058 ·
-
SarifLogger: artifactLocation.uri is not properly encoded for file names containing '#', '?', or '%'オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
checkstyle/checkstyle#21721 ·
メンテナーはふだん 1 日以内に返信