CVE-2025-46569

Open Policy Agent (OPA), açık kaynaklı ve genel amaçlı bir politika motorudur. Versiyon 1.4.0 öncesinde, sunucu olarak çalıştırıldığında OPA, belgeleri okumak ve yazmak için bir HTTP Data API'si sunar. Data API üzerinden sanal bir belge talep edilmesi, istenen yoldan tek bir veri belgesi referansı içeren bir Rego sorgusunun oluşturulduğu bir politika değerlendirmesini beraberinde getirir. Bu sorgu daha sonra politika değerlendirmesi için kullanılır. Bir HTTP istek yolu, oluşturulan sorguya Rego kodu enjekte edecek şekilde tasarlanabilir. Değerlendirme sonucu, istenen yol tarafından üretilen veriler dışında başka herhangi bir veri döndürecek şekilde ayarlanamaz ancak bu yol yanlış yönlendirilebilir ve enjekte edilen Rego kodu, sorgunun başarılı veya başarısız olmasını sağlayacak şekilde yapılandırılabilir; bu durum oracle saldırılarına veya uygun koşullar altında hatalı politika karar sonuçlarına yol açabilir. Ayrıca, enjekte edilen kod hesaplama açısından maliyetli olacak şekilde tasarlanarak Hizmet Reddi (DoS) saldırısına neden olabilir. Bu sorun versiyon 1.4.0 ile düzeltilmiştir. Geçici çözüm olarak, üretim nedenleriyle gerekli olmadıkça OPA'nın RESTful API'lerine ağ erişiminin `localhost` ve/veya güvenilir ağlarla sınırlandırılması önerilir.