CVE-2025-64484

OAuth2-Proxy həm müstəqil tərs proksi (reverse proxy), həm də mövcud tərs proksi və ya yük paylayıcı (load balancer) qurğularına inteqrasiya olunmuş orta təbəqə komponenti kimi çıxış edə bilən açıq mənbəli bir alətdir. 7.13.0 versiyasından əvvəlki versiyalarda, HTTP başlıqlarında alt xətləri tire ilə normallaşdıran tətbiqlərin qarşısında yerləşdirilmiş bütün OAuth2 Proxy qurulmalarında boşluq mövcuddur (məsələn, Django, Flask, FastAPI kimi WSGI əsaslı freymvorklar və PHP tətbiqləri). Autentifikasiya olunmuş istifadəçilər X-Forwarded-* başlıqlarının alt xətli variantlarını daxil edərək proksinin filtrləmə məntiqini yan keçə bilər və bu, yuxarı axınlı (upstream) tətbiqdə potensial olaraq imtiyazların yüksəldilməsinə səbəb ola bilər. OAuth2 Proxy-nin öz autentifikasiya/avtorizasiyası təhlükə altına düşmür. Problem v7.13.0 versiyası ilə aradan qaldırılıb. Artıq standart olaraq bütün göstərilmiş başlıqlar normallaşdırılacaq, yəni silinəcək başlıqlarla uyğunlaşdırma zamanı həm böyük/kiçik hərf fərqi, həm də alt xəttlərin (_) tirelərə (-) nisbətən istifadəsi nəzərə alınmayacaq. Məsələn, həm `X-Forwarded-For`, həm də `X_Forwarded-for` eyni hesab ediləcək və silinəcək. Oxşar görünüşlü başlığı saxlamaq və onu silməmək üçün əsaslandırılmış səbəbi olanlar üçün developerlər AlphaConfig vasitəsilə idarə olunan Başlıqlar üçün `InsecureSkipHeaderNormalization` adlı yeni konfiqurasiya sahəsi təqdim etmişlər. Müvəqqəti həll yolu kimi, yuxarı axınlı xidmətlərdəki filtrləmə və emal məntiqinin Başlıqlardakı alt xətləri və tireləri eyni şəkildə qəbul etmədiyindən əmin olun.