用户枚举GSuite Okta集成

重现步骤:1。去gmail.com登录端点。2。尝试登录企业邮箱使用Okta SSO集成。在我们的例子中,(电子邮件保护)。3所示。如果用户名有效,重定向到Okta SSO页面将会发生。如果不是,就会出现一个错误说“无效的用户名”。基于这些结果从步骤3,用户对于一个给定的公司可以枚举。注意:我们充分意识到user-enumeration漏洞通常被认为是大多数漏洞修复团队检查/低优先级,但鉴于这可以针对特定的使用这个集成的组织,我们认为我们会披露。