CVE-2023-30845

ESPv2, Google Service Infrastructure kullanarak API yönetimi yetenekleri sunan bir hizmet proxy'sidir. ESPv2 2.20.0 ile 2.42.0 sürümleri arasında bir kimlik doğrulama atlatma güvenlik açığı bulunmaktadır. API istemcileri, belirli durumlarda JWT kimlik doğrulamasını atlatmak için kötü niyetli bir `X-HTTP-Method-Override` başlık değeri oluşturabilir. ESPv2, aşağıdaki iki koşulun da doğru olması durumunda kötü niyetli isteklerin kimlik doğrulamayı atlatmasına izin verir: İstenen HTTP yöntemi API hizmet tanımında (OpenAPI spesifikasyonu veya gRPC `google.api.http` proto ek açıklamaları) **yer almıyorsa** ve belirtilen `X-HTTP-Method-Override` API hizmet tanımında geçerli bir HTTP yöntemi ise. ESPv2, isteği JWT'yi kontrol etmeden arka ucunuza iletir. Saldırganlar, JWT belirtmeyi atlamalarına olanak tanıyan kötü niyetli bir `X-HTTP-Method-Override` değeri içeren istekler oluşturabilir. API erişimini API anahtarlarıyla kısıtlama amaçlandığı gibi çalışır ve bu güvenlik açığından etkilenmez. Yama almak için dağıtımları v2.43.0 veya üzeri sürüme yükseltin. Bu sürüm, çağıran `x-http-method-override` belirtse bile JWT kimlik doğrulamasının gerçekleşmesini sağlar. `x-http-method-override` v2.43.0+ tarafından hâlâ desteklenmektedir. API istemcileri bu başlığı ESPv2'ye göndermeye devam edebilir.