論文の概要: Mini-Programs, Mega-Problems: Unveiling OAuth-based Authentication Misuses in Mini-Programs via Dynamic Analysis
- arxiv url: http://arxiv.org/abs/2607.08232v1
- Date: Thu, 09 Jul 2026 08:28:57 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-07-10 14:45:27.467111
- Title: Mini-Programs, Mega-Problems: Unveiling OAuth-based Authentication Misuses in Mini-Programs via Dynamic Analysis
- Title（参考訳）: ミニPrograms, Mega-Problems:動的解析によるミニProgramsにおけるOAuthベースの認証ミスの回避
- Abstract要約: ミニプログラムは、WeChatのようなスーパーアプリ内での軽量アプリケーションデプロイメントにおいて、支配的なパラダイムとなっている。
本稿では,従来の静的コードに基づく研究とは異なる3種類の実行時OBA誤用を発見し,攻撃者が被害者を偽装することを可能にした。
我々は,OBA誤用を大規模に解析する最初の分析フレームワークであるMINIを実装した。
- 参考スコア（独自算出の注目度）: 11.259117785929293
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Mini-programs have become a dominant paradigm for lightweight application deployment within super apps such as WeChat. To support seamless integration, super apps provide OAuth mechanisms for user login. However, improper integration of OAuth-based Authentication (OBA) flows by third-party developers can lead to critical security flaws. In this paper, we discover three new types of runtime OBA misuses that differ from prior static-code-based studies, enabling attackers to impersonate victims. To assess their real-world impact, we design and implement MINIAUTH, the first analysis framework for systematically analyzing OBA misuse at scale. MINIAUTH automatically pinpoints the OBA login page of a mini-program, executes the workflow dynamically, and analyzes its runtime behaviors. This enables it to handle obfuscated mini-programs and uncover vulnerabilities that existing approaches cannot detect. Applying MINIAUTH to 44,273 WeChat and 2,721 Baidu mini-programs, we uncover 1,834 misuse cases, including critical logic flaws that enable client-side identity forgery via exposed credentials and authentication bypass through static or plaintext identifiers. Our cross-platform evaluation further shows that such misuses are not confined to a single ecosystem but consistently appear across different mini-program platforms. We also identify a cryptographic design flaw in Baidu's OBA APIs that allows brute-forcing of session keys. We responsibly disclosed our findings to the developers and platforms, receiving acknowledgments and assigned CNVD/CNNVD IDs. These results underscore the need for more robust developer guidance and enhanced platform-level safeguards.
- Abstract（参考訳）: ミニプログラムは、WeChatのようなスーパーアプリ内での軽量アプリケーションデプロイメントにおいて、支配的なパラダイムとなっている。
シームレスな統合をサポートするために、スーパーアプリはユーザログインのためのOAuthメカニズムを提供する。
しかし、サードパーティ開発者によるOAuthベースの認証(OBA)フローの不正な統合は、重大なセキュリティ欠陥につながる可能性がある。
本稿では,従来の静的コードに基づく研究とは異なる3種類の実行時OBA誤用を発見し,攻撃者が被害者を偽装することを可能にした。
実世界への影響を評価するため,OBA誤用を大規模に解析する最初の分析フレームワークであるMINIAUTHを設計,実装した。
MINIAUTHは、ミニプログラムのOBAログインページを自動的にピンポイントし、動的にワークフローを実行し、実行時の動作を分析する。
これにより、難読化されたミニプログラムを処理でき、既存のアプローチでは検出できない脆弱性を明らかにすることができる。
MINIAUTHを44,273のWeChatと2,721のBaiduのミニプログラムに適用すると、1,834の誤用ケースが発見されます。
我々のクロスプラットフォーム評価は、このような誤用は単一のエコシステムに限らず、さまざまなミニプログラムプラットフォームに一貫して現れることを示している。
BaiduのOBA APIには,セッションキーのブルート強制を可能にする,暗号化設計上の欠陥もあります。
CNVD/CNNVD IDを付与し,開発者やプラットフォームに報告した。
これらの結果は、より堅牢な開発者ガイダンスとプラットフォームレベルの保護強化の必要性を浮き彫りにしている。
関連論文リスト
- Understanding and Mitigating Prompt Leaking Attacks in Real-World LLM-Based Applications [57.33208520608409]
本稿では,大規模言語モデル(LLM)に基づくアプリケーションにおいて,プロンプトリークのシステマティックスタディを提案する。
デプロイの80%以上は、現実的な逆クエリの下で、システムにリークする。
我々は、最適化可能なソフトプロンプトを用いてモデルの注意を喚起する実用的な防御であるARAを提案する。
論文 参考訳（メタデータ） (2026-06-17T04:20:00Z) - Mind your key: An Empirical Study of LLM API Credential Leakage in iOS Apps [5.589937672097304]
LLM統合アプリケーションにおけるAPIキーリークに関する詳細な実証研究としては,今回が初めてである。
我々は、標準化プロセスを通じて1092の候補からフィルタリングされた、444のiOSアプリケーションの高品質なデータセットを構築した。
分析の結果,282のアプリケーションが,少なくとも10のプロバイダにまたがる,悪用可能なLLM API認証情報をネットワークトラフィックに公開していることが判明した。
論文 参考訳（メタデータ） (2026-06-10T15:29:05Z) - Scalable Secure Biometric Authentication without Auxiliary Identifiers [54.032594016239926]
本稿では,データ漏洩に対するセキュリティ保証を保証できる生体認証システムを提案する。
私たちの研究は、補助的な識別子を使わずに、現実のスケーラブルなプライバシー保護バイオメトリック認証が実現可能であることを示す最初のものです。
論文 参考訳（メタデータ） (2026-04-27T23:55:09Z) - Okara: Detection and Attribution of TLS Man-in-the-Middle Vulnerabilities in Android Apps with Foundation Models [3.9807330903947378]
トランスポート層セキュリティ(TLS)は、オンライン通信のセキュア化に基本である。
Man-in-the-Middle(MitM)による攻撃は、Androidアプリにとって大きな脅威だ。
我々は,MitM脆弱性の検出と帰属を自動化するフレームワークであるOkaraを紹介する。
論文 参考訳（メタデータ） (2026-01-30T09:49:09Z) - An Empirical Study on Remote Code Execution in Machine Learning Model Hosting Ecosystems [4.409447722044799]
モデルローディング中の信頼できないコードの実行は、モデル共有プラットフォームに対するセキュリティ上の懸念である。
5つの主要なモデル共有プラットフォームにわたるカスタムモデルローディングプラクティスに関する、最初の大規模な実証的研究を行います。
論文 参考訳（メタデータ） (2026-01-20T17:13:42Z) - Why Does the LLM Stop Computing: An Empirical Study of User-Reported Failures in Open-Source LLMs [50.075587392477935]
オープンソースのDeepSeek、Llama、Qwenのエコシステムから、705の現実世界の失敗に関する大規模な実証的研究を行った。
ホワイトボックスオーケストレーションは、モデルアルゴリズムの欠陥からデプロイメントスタックのシステム的脆弱性へと、信頼性のボトルネックを移動させます。
論文 参考訳（メタデータ） (2026-01-20T06:42:56Z) - OmniSafeBench-MM: A Unified Benchmark and Toolbox for Multimodal Jailbreak Attack-Defense Evaluation [94.61617176929384]
OmniSafeBench-MMはマルチモーダル・ジェイルブレイク攻撃防御評価のための総合ツールボックスである。
13の代表的な攻撃方法と15の防衛戦略、9つの主要なリスクドメインと50のきめ細かいカテゴリにまたがる多様なデータセットを統合している。
データ、方法論、評価をオープンソースで再現可能なプラットフォームに統合することで、OmniSafeBench-MMは将来の研究のための標準化された基盤を提供する。
論文 参考訳（メタデータ） (2025-12-06T22:56:29Z) - CANTXSec: A Deterministic Intrusion Detection and Prevention System for CAN Bus Monitoring ECU Activations [53.036288487863786]
物理ECUアクティベーションに基づく最初の決定論的侵入検知・防止システムであるCANTXSecを提案する。
CANバスの古典的な攻撃を検知・防止し、文献では調査されていない高度な攻撃を検知する。
物理テストベッド上での解法の有効性を実証し,攻撃の両クラスにおいて100%検出精度を達成し,100%のFIAを防止した。
論文 参考訳（メタデータ） (2025-05-14T13:37:07Z) - Are You Getting What You Pay For? Auditing Model Substitution in LLM APIs [71.7892165868749]
LLM(Commercial Large Language Model) APIは基本的な信頼の問題を生み出します。
ユーザーは特定のモデルに課金するが、プロバイダが忠実に提供できることを保証することはない。
我々は,このモデル置換問題を定式化し,現実的な逆条件下での検出方法を評価する。
我々は,信頼された実行環境(TEE)を実用的で堅牢なソリューションとして使用し,評価する。
論文 参考訳（メタデータ） (2025-04-07T03:57:41Z) - To Think or Not to Think: Exploring the Unthinking Vulnerability in Large Reasoning Models [56.19026073319406]
大規模推論モデル (LRM) は、最終的な答えを生成する前に明確な推論トレースを生成することで複雑なタスクを解決するように設計されている。
LRM(Unthinking)と呼ばれる重要な脆弱性を明らかにし、特別なトークンを操作することで思考プロセスを回避できます。
本稿では,この脆弱性を悪意と有益の両方の観点から検討する。
論文 参考訳（メタデータ） (2025-02-16T10:45:56Z) - AuthNet: Neural Network with Integrated Authentication Logic [19.56843040375779]
本稿では,認証ロジックをモデルの一部として統合する,AuthNetと呼ばれるネイティブ認証機構を提案する。
AuthNetは、あらゆる畳み込みニューラルネットワークと互換性があり、私たちの評価では、認証されていないユーザを拒否することで、AuthNetが目標を達成することに成功した。
論文 参考訳（メタデータ） (2024-05-24T10:44:22Z) - Finding Vulnerabilities in Mobile Application APIs: A Modular Programmatic Approach [0.0]
アプリケーションプログラミングインタフェース(API)は、さまざまなモバイルアプリケーションでデータを転送するのにますます人気になっている。
これらのAPIはエンドポイントを通じてセンシティブなユーザ情報を処理します。
本稿では,様々なモバイルAndroidアプリケーションの情報漏洩を分析するために,モジュール型エンドポイント脆弱性検出ツールを開発した。
論文 参考訳（メタデータ） (2023-10-22T00:08:51Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。