CVE-2021-32701
Açıklama
ORY Oathkeeper, HTTP isteklerini Erişim Kuralları setlerine göre yetkilendiren bir Kimlik ve Erişim Proxy'si (IAP) ve Erişim Kontrol Karar API'sidir. `foo` kapsamı gerektiren bir uç noktaya, bu `foo` kapsamına sahip bir erişim belirteci ile istek yapıldığında, iç gözlem (introspection) geçerli olacak ve söz konusu belirteç önbelleğe alınacaktır. Sorun, önbellek süresi dolmadan önce `bar` kapsamı gerektiren bir uç noktaya ikinci bir istek yapıldığında ortaya çıkmaktadır. Belirtecin `bar` kapsamına sahip olup olmadığına bakılmaksızın, iç gözlem geçerli sayılacaktır. Bir yama `v0.38.12-beta.1` sürümüyle yayınlanacaktır. Varsayılan olarak, `oauth2_introspection` kimlik doğrulayıcısı için önbellekleme devre dışıdır. Önbellekleme devre dışı olduğunda bu güvenlik açığı mevcut değildir. Önbellek kontrolü [`func (a *AuthenticatorOAuth2Introspection) Authenticate(...)`](https://github.com/ory/oathkeeper/blob/6a31df1c3779425e05db1c2a381166b087cb29a4/pipeline/authn/authenticator_oauth2_introspection.go#L152) içerisinde yapılmaktadır. [`tokenFromCache()`](https://github.com/ory/oathkeeper/blob/6a31df1c3779425e05db1c2a381166b087cb29a4/pipeline/authn/authenticator_oauth2_introspection.go#L97) fonksiyonundan anlaşıldığı üzere, yalnızca belirtecin son kullanma tarihini doğrulamakta ancak belirtecin uygun kapsamlara sahip olup olmadığını görmezden gelmektedir. Güvenlik açığı PR #424 ile eklenmiştir. İnceleme sırasında, gönderen kişiden uygun test kapsamı talep edilmemesi, güvenlik açığının inceleme sürecinden geçmesinin temel nedenidir.
Nasıl düzeltilir
- github.com/ory/oathkeeper0.38.12-beta.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ory oathkeeper | 0.38.0, 0.38.1, 0.38.2, 0.38.3, 0.38.4, 0.38.5, 0.38.6, 0.38.7, 0.38.8, 0.38.9, 0.38.10, 0.38.11 | — |
| github.com/ory/oathkeeperGo | 0.38.0-beta.2 ≤ v < 0.38.12-beta.1 | 0.38.12-beta.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.