CVE-2026-33496
Təsvir
ORY Oathkeeper, Giriş Qaydaları dəstlərinə əsasən HTTP sorğularını avtorizasiya edən bir Kimlik və Giriş Proksisi (IAP) və Girişə Nəzarət Qərarı API-dır. 26.2.0 versiyasından əvvəlki versiyalar keş açarının qarışdırılması səbəbindən autentifikasiyadan yan keçmə zəifliyinə malikdir. `oauth2_introspection` autentifikator keşi fərqli introspeksiya URL-ləri ilə təsdiqlənmiş tokenləri bir-birindən ayırmır. Buna görə də hücumçu keşini doldurmaq üçün legitim şəkildə tokendən istifadə edə bilər və sonradan həmin tokeni fərqli introspeksiya serverindən istifadə edən qaydalar üçün tətbiq edə bilər. Ory Oathkeeper hər biri fərqli tokenləri qəbul edən çox sayda `oauth2_introspection` autentifikator serverləri ilə konfiqurasiya edilmiş olmalıdır. Həmçinin autentifikatorlar keşləmədən istifadə etmək üçün konfiqurasiya olunmalıdır. Hücumçu konfiqurasiya edilmiş introspeksiya serverlərindən biri üçün etibarlı token əldə etmək imkanına malik olmalıdır. 26.2.0 versiyasından başlayaraq Ory Oathkeeper tokenlərin qarışdırılmasının qarşısını almaq üçün introspeksiya serverinin URL-ni keş açarına daxil edir. Ory Oathkeeper-in yamaqlanmış versiyasına yeniləyin. Əgər bu dərhal mümkün deyilsə, `oauth2_introspection` autentifikatorları üçün keşləməni söndürün.
Necə düzəltmək olar
- ory oathkeeper26.2.0 və ya daha yeni versiya
- github.com/ory/oathkeeper0.40.10-0.20260320084801-198a2bc82a99 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ory oathkeeper | v < 26.2.0 | 26.2.0 |
| github.com/ory/oathkeeperGo | v < 0.40.10-0.20260320084801-198a2bc82a99 | 0.40.10-0.20260320084801-198a2bc82a99 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.