CVE-2026-33495

ORY Oathkeeper, Giriş Qaydaları dəstlərinə əsasən HTTP sorğularını avtorizasiya edən bir İdentifikasiya və Giriş Proksisi (IAP) və Girişə Nəzarət Qərarı API-dır. Ory Oathkeeper tez-tez CDN-lər, WAF-lar və ya tərs proksilər kimi digər komponentlərin arxasında yerləşdirilir. Qurulumdan asılı olaraq, başqa bir komponent sorğunu orijinal sorğudan fərqli protokolla (http və ya https) Oathkeeper proksisinə yönləndirə bilər. Sorğunun konfiqurasiya edilmiş qaydalara düzgün uyğunlaşdırılması üçün Oathkeeper qaydaları qiymətləndirərkən `X-Forwarded-Proto` başlığını nəzərə alır. `serve.proxy.trust_forwarded_headers` konfiqurasiya seçimi (defolt olaraq false) bu və digər `X-Forwarded-*` başlıqlarına etibar edilib-edilməməyini tənzimləyir. Versiya 26.2.0-dan əvvəl Oathkeeper bu konfiqurasiyaya düzgün əməl etmir və hər zaman `X-Forwarded-Proto` başlığını nəzərə alırdı. Hücumçunun bundan istifadə etməsi üçün Ory Oathkeeper quraşdırmasının HTTP və HTTPS sorğuları üçün fərqli qaydalara malik olması lazımdır. Həmçinin hücumçu qaydalardan birini tetikleyib digərini tetikleməyə nail olmalıdır. Bu ssenaridə hücumçu digər qaydanı işə salmaq üçün eyni sorğunu `X-Forwarded-Proto` başlığı ilə göndərə bilər. Bir çox konfiqurasiyanın bu ilkin şərtlərə cavab verdiyi gözlənilmir. Versiya 26.2.0 yamaq ehtiva edir. Bundan sonra Ory Oathkeeper `serve.proxy.trust_forwarded_headers` konfiqurasiyasına düzgün əməl edəcək və beləliklə hücum ssenarisini aradan qaldıracaq. İlkin şərtlər ödənməsə belə, sabitləşdirilmiş versiyaya yüksəltmə etməyi tövsiyə edirik. Əlavə tədbir olaraq, sorğu emal edilərkən gözlənilməyən bütün başlıqların mümkün qədər erkən mərhələdə, məsələn, WAF-da silinməsi ümumiyyətlə tövsiyə olunur.