CVE-2025-64484

OAuth2-Proxy, tek başına bir ters proxy veya mevcut ters proxy ya da yük dengeleyici kurulumlarına entegre edilmiş bir ara katman bileşeni olarak görev yapabilen açık kaynaklı bir araçtır. 7.13.0 öncesindeki sürümlerde, HTTP başlıklarındaki alt çizgileri tireye dönüştüren uygulamaların (örneğin Django, Flask, FastAPI gibi WSGI tabanlı çerçeveler ve PHP uygulamaları) önünde çalışan tüm OAuth2 Proxy dağıtımları etkilenmektedir. Kimliği doğrulanmış kullanıcılar, proxy'nin filtreleme mantığını atlayan X-Forwarded-* başlıklarının alt çizgi varyantlarını enjekte ederek üst akış uygulamasında potansiyel olarak yetki yükseltebilirler. OAuth2 Proxy kimlik doğrulama/yetkilendirme işleminin kendisi tehlikeye girmemiştir. Sorun v7.13.0 ile düzeltilmiştir. Varsayılan olarak artık belirtilen tüm başlıklar normalize edilecektir; yani silinecek başlıklarla eşleştirme yapılırken hem büyük/küçük harf kullanımı hem de alt çizgi (_) yerine tire (-) kullanımı göz ardı edilecektir. Örneğin, hem `X-Forwarded-For` hem de `X_Forwarded-for` artık eşdeğer kabul edilecek ve silinecektir. Benzer görünümlü bir başlığı tutmayı gerektiren makul bir nedeni olanlar için geliştiriciler, AlphaConfig aracılığıyla yönetilen Başlıklar için `InsecureSkipHeaderNormalization` adlı yeni bir yapılandırma alanı eklemiştir. Geçici bir çözüm olarak, üst akış servislerindeki filtreleme ve işleme mantığının Başlıklardaki alt çizgileri ve tireleri aynı şekilde değerlendirmediğinden emin olun.