CVE-2026-32811

Heimdall bulud yerli Identity Aware Proxy və Girişə Nəzarət Qərarı xidmətidir. Heimdall-ın 0.7.0-alpha versiyasından 0.17.10 versiyasına qədər olan versiyalarında envoy gRPC decision API rejimində istifadəsi zamanı sorğu URL sətirinin yanlış kodlaşdırılması, wildcard olmayan yol ifadələri ilə təyin edilmiş qaydalardan yan keçməyə imkan verir. Envoy sorğu edilən URL-i hissələrə bölür və bu hissələri tək-tək Heimdall-a göndərir. API-da sorğu (query) və yol (path) mövcud olsa da, sorğu sahəsinin həmişə boş olduğu sənədləşdirilib və URL sorğusu yol sahəsinə daxil edilir. Tətbiq, yoldakı xüsusi simvolları avtomatik olaraq kodlaşdıran go-nun url kitabxanasından istifadə edərək URL-i yenidən qurur. Nəticədə, Yol üçün `/mypath?foo=bar` kimi bir parametr `/mypath%3Ffoo=bar` şəklində escape edilir. Bununla belə, `/mypath` ilə uyğunlaşan qayda artıq uyğunluq təmin etmir və yan keçilir. Bu problem yalnız Heimdall "hamıya icazə ver" (allow all) standart qaydası ilə konfiqurasiya edildikdə arzuolunmaz girişə səbəb ola bilər. v0.16.0 versiyasından etibarən Heimdall təhlükəsiz standartları tətbiq edir və bu məhdudiyyət açıq şəkildə söndürülmədikcə (məsələn, `--insecure-skip-secure-default-rule-enforcement` və ya daha geniş `--insecure` bayrağı vasitəsilə), belə bir konfiqurasiya ilə işə düşməyi rədd edir. Bu problem 0.17.11 versiyasında düzəldilmişdir.