CVE-2025-46569

Open Policy Agent (OPA) açıq mənbəli, ümumi təyinatlı siyasət mühərrikidir. Versiya 1.4.0-dan əvvəl, server kimi işlədikdə, OPA sənədləri oxumaq və yazmaq üçün HTTP Data API təqdim edir. Data API vasitəsilə virtual sənəd sorğusunun göndərilməsi siyasətin qiymətləndirilməsini tələb edir ki, burada sorğu edilən yoldan tək bir məlumat sənədi istinadı olan Rego sorğusu qurulur. Daha sonra bu sorğu siyasətin qiymətləndirilməsi üçün istifadə olunur. HTTP sorğu yolu elə qurula bilər ki, qurulmuş sorğuya Rego kodu inyeksiya edilsin. Qiymətləndirmə nəticəsi sorğu edilən yolla yaradılan məlumatlardan başqa heç bir məlumatı qaytara bilməz, lakin bu yol yanlış yönləndirilə bilər və inyeksiya edilmiş Rego kodu sorğunun uğurlu və ya uğursuz olması üçün hazırlanmış ola bilər; bu isə oracle hücumlarına və ya müvafiq şərait yarandıqda səhv siyasət qərarları nəticələrinə yol açır. Bundan əlavə, inyeksiya edilmiş kod hesablama baxımından bahalı şəkildə qurularaq Xidmətdən İmtina (DoS) hücumuna səbəb ola bilər. Bu problem versiya 1.4.0-da aradan qaldırılmışdır. Müvəqqəti həll yolu olaraq, istehsalat səbəbləri ilə zəruri olmadıqda, OPA-nın RESTful API-lərinə şəbəkə girişinin `localhost` və/və ya etibarlı şəbəkələrlə məhdudlaşdırılması tövsiyə olunur.