Ataques OAuth Mix-up Persistem: Falha na Validação do Emissor Permite Explorações Críticas

Os ataques OAuth mix-up persistem, representando uma ameaça séria para ambientes que gerenciam múltiplos servidores de autorização. Embora o RFC 9207, publicado em 2022, tenha introduzido o parâmetro iss para que clientes validem a origem de tokens em fluxos de redirecionamento, a proteção não se estendeu às concessões de "back-channel", como a troca de tokens (RFC 8693) ou o JWT e SAML 2.0 bearer grants. É aqui que o problema se manifesta de forma crítica, permitindo que tokens válidos de um emissor sejam erroneamente associados a outro.

A recente CVE-2026-59208, identificada no sistema n8n, é um exemplo claro dessa falha. Ela expôs como a validação de assinatura de um subject_token pode ser inadequada quando não se confirma que a chave de assinatura pertence ao emissor declarado no campo iss do próprio token. Isso abriu a porta para que um token de um tenant fosse validado e associado a uma conta de mesmo nome em um tenant diferente, evidenciando uma falha crucial na separação de validação de assinatura e escopo de namespace da conta. Essa vulnerabilidade destaca a necessidade de os desenvolvedores implementarem verificações mais rigorosas, incluindo a partição de chaves de assinatura por emissor e a associação de buscas de contas ao namespace do emissor confirmado, especialmente em arquiteturas com múltiplos emissores. A Doyensec, em cobertura anterior do CEVIU News em 11 de março de 2026, já havia mapeado a complexa superfície de ataque do OAuth 2.0 em implantações Multi-Cloud Provider (MCP), um cenário onde essas confusões são ainda mais perigosas.

O que mudou é a localização e a forma da vulnerabilidade. O RFC 9207, de 2022, resolveu os ataques mix-up para fluxos de redirecionamento do OAuth ao introduzir a validação obrigatória do parâmetro iss. Contudo, a rápida evolução dos protocolos e o surgimento de concessões de back-channel, como a troca de tokens, criou uma nova brecha. O problema dos ataques mix-up não desapareceu; ele migrou para essas novas modalidades, provando que a correção original não acompanhou a expansão do uso do OAuth.

A CVE-2026-59208 no n8n não é uma falha nova do RFC 9207, mas a exposição de uma lacuna que o RFC não cobria. Isso demonstra que a mesma lógica de segurança (vinculação de identidade ao emissor) precisa ser aplicada em todo o ecossistema OAuth, e não apenas em partes dele. O que era um problema conhecido, e "resolvido" em parte, ressurge com força em um novo vetor de ataque.

A persistência desses ataques mix-up é um sinal de alerta para qualquer organização que utilize ou planeje utilizar arquiteturas multi-emissor ou multi-tenant. Em cenários de Multi-Cloud Provider (MCP) e com a crescente adoção de agentes de IA que interagem com múltiplos serviços, a complexidade aumenta exponencialmente. Uma falha na validação do emissor pode levar à escalada de privilégios, acesso não autorizado a dados sensíveis ou até mesmo ao controle completo de contas de usuário.

Proteger a identidade e o acesso em ecossistemas distribuídos exige uma atenção constante aos detalhes da implementação de padrões como OAuth. Os incidentes recentes envolvendo ataques a Client IDs OAuth no Microsoft Entra ID, noticiados pelo CEVIU News em julho de 2026, reforçam que o universo de autenticação e autorização é um alvo constante e evolutivo para cibercriminosos.