CVE-2026-65838
Təsvir
Skipper servis kompozisiyası üçün HTTP marşrutlayıcısı və tərs proksidir. Versiya 0.27.35-dən əvvəl, filters/openpolicyagent/openpolicyagent.go faylındakı opaAuthorizeRequestWithBody filtri, həddindən artıq böyük elan edilmiş Content-Length sorğusunun "deny-on-presence" Rego siyasətini yan keçməsinə şərait yarada bilər, çünki ExtractHttpBodyOptionally funksiyası tam sorğu gövdəsini yuxarı axına yönləndirərkən OPA-nı boş parsed_body ilə saxlayır. CVE-2026-50197 zəifliyinin bu natamam aradan qaldırılması, sorğu gövdəsinin məzmununu avtorizasiya edən və standart olaraq 1 MB olan -open-policy-agent-max-request-body-size limitini aşan tətbiqlərə təsir edir. Buna görə də, input.attributes.request.http.truncated_body parametrini rədd etməyən siyasət məntiqi "fail open" vəziyyətinə düşə bilər və qadağan olunmuş yükün qorunan servisə çatmasına icazə verə bilər; kiçik gövdələr və əvvəllər düzəldilmiş chunked-body halı isə normal şəkildə qiymətləndirilir. Bu problem 0.27.35 versiyasında düzəldilib.
Necə düzəltmək olar
- github.com/zalando/skipper0.27.26 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/zalando/skipperGo | v < 0.27.26 | 0.27.26 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.