Questo non è un difetto in OAuth 2 ma nella fiducia implicita che alcuni sviluppatori hanno inserito nei dati forniti da un provider di identità (IDp).
L'attacco menzionato nella ricerca originale si basa sulla manipolazione dell'intransito di dati tra 2 app sul dispositivo o tra un client e un server (o il provider Oauth o un servizio di terze parti).
Si riduce all'impossibilità di riconoscere che non ci si può semplicemente fidare di un dispositivo dell'utente finale (o di qualsiasi dispositivo al di fuori del proprio controllo), quindi gli sviluppatori delle applicazioni dovrebbero considerare i dati come "malvagi" (come dovrebbero essere trattati tutti gli input dell'utente ) e supponiamo che sarà manomesso.
l'attacco sfrutta questo errore fornendo un token di accesso corretto ma i dettagli utente errati (come l'utilizzo del mio token di accesso e il tuo indirizzo e-mail) che andranno al server di terze parti e saranno utilizzati come mezzo per identificarmi (quindi sarò identificato come te come è stata fornita la tua email). Per farmi fare tutto ciò di cui ho bisogno è il tuo indirizzo email (facile da ottenere). Questi server avrebbero dovuto essere programmati in un modo diverso. cioè dovrebbero recuperare il proprio stato dei dettagli dell'utente utilizzando il token di accesso recuperato dall'app. e convalidare che questi sono gli stessi forniti.
Ora, come tutto questo si traduce nella tua domanda di impatto sui tuoi dispositivi.
Temo che la testata sia e sarà quasi certamente sempre "non lo sappiamo", dal momento che il flusso è un fraintendimento dei protocolli e dei rischi. Dal momento che ci sono molte App, semplicemente non possiamo testarle tutte se sono vulnerabili per questo abuso. Dal momento che l'exploit non richiede nulla dalla vittima, ma dati "pubblici" potresti essere a rischio senza usare affatto login oauth 2. Questo è qualcosa che gli sviluppatori di queste app e servizi devono risolvere. e tutto ciò che facciamo è chiedere loro di dimostrare che non sono vulnerabili (ad esempio, chiedigli di fare un pen-test)