Open Redirect durch unvalidierte redirect_uri

Im normalen Authentifizierungsablauf wird der redirect_uri-Parameter im Controller-Methodenkörper gegen registrierte OAuth-Clients validiert. Jakarta Bean Validation-Annotationen an Anfrageparametern (wie @Pattern auf state, nonce, code_challenge und code_challenge_method) werden jedoch ausgewertet, bevor der Controller-Body ausgeführt wird.

Im Normalablauf wird die redirect_uri gegen registrierte Clients validiert:

idpAuthenticator.validateRedirectUri(clientId, redirectUri);

Diese Validierung befindet sich jedoch im Controller-Methodenkörper. Wenn Jakarta Bean Validation-Annotationen an Parametern fehlschlagen, wird eine ConstraintViolationException geworfen, bevor der Controller-Body ausgeführt wird. Die Exception wird von buildForwardingError behandelt, der die redirect_uri direkt aus der HTTP-Anfrage liest und für eine 302-Weiterleitung verwendet, ohne jemals validateRedirectUri aufzurufen:

final String redirectUri = request.getParameter("redirect_uri");
if (redirectUri == null) {
    // ... return 400
} else {
    final UriBuilder uriBuilder = UriBuilder.fromPath(redirectUri)
        .queryParam("error", ...)
        .queryParam("gematik_code", ...);
    // ...
    response.setHeader(HttpHeaders.LOCATION, location.toString());
    return new ResponseEntity<>(HttpStatus.FOUND);
}

Die redirect_uri-Validierung in createIdpErrorResponse greift nur bei MissingServletRequestParameterException, nicht bei ConstraintViolationException. Jede Anfrage, die einen Parameterformat-Validierungsfehler auslöst, leitet daher zur beliebigen redirect_uri des Angreifers weiter.

Ein Angreifer kann dies ausnutzen, indem er eine Anfrage mit einer gültigen client_id aber einem absichtlich fehlerhaften code_challenge sendet. Der Wert entspricht nicht dem erwarteten Regex-Muster, was Fehlercode 2010 mit HTTP-Status 302 auslöst. Der Error-Handler leitet den Benutzer dann zur vom Angreifer kontrollierten URL weiter:

curl -v 'https://idp.example.com/sign_response?\
  client_id=eRezeptApp&\
  redirect_uri=https://evil.com&\
  response_type=code&\
  scope=openid+e-rezept&\
  code_challenge=too_short&\
  code_challenge_method=S256&\
  state=x&nonce=y'