CVE-2026-32811

Heimdall, bulut yerlisi bir Kimlik Farkındalıklı Proxy ve Erişim Kontrol Karar servisidir. Heimdall'un 0.7.0-alpha ile 0.17.10 arasındaki sürümlerinde envoy gRPC karar API modu kullanıldığında, sorgu URL dizesinin yanlış kodlanması, joker karakter içermeyen yol ifadelerine sahip kuralların atlatılmasına olanak tanır. Envoy, istenen URL'yi parçalara ayırır ve bu parçaları tek tek Heimdall'a gönderir. API'de sorgu ve yol mevcut olsa da, sorgu alanının her zaman boş olduğu belgelenmiştir ve URL sorgusu yol alanı içine dahil edilmiştir. Uygulama, yolu yeniden oluşturmak için go'nun url kütüphanesini kullanır ve bu kütüphane yoldaki özel karakterleri otomatik olarak kodlar. Sonuç olarak, Path kısmındaki /mypath?foo=bar gibi bir parametre /mypath%3Ffoo=bar şeklinde kaçış karakterine dönüştürülür. Ardından, /mypath ile eşleşen bir kural artık eşleşmez ve atlatılır. Bu sorun, yalnızca Heimdall "tümüne izin ver" varsayılan kuralı ile yapılandırılmışsa istenmeyen erişime yol açabilir. v0.16.0 sürümünden itibaren Heimdall güvenli varsayılanları zorunlu kılar ve örneğin --insecure-skip-secure-default-rule-enforcement veya daha kapsamlı olan --insecure bayrağı aracılığıyla bu zorunluluk açıkça devre dışı bırakılmadıkça böyle bir yapılandırmayla başlatmayı reddeder. Bu sorun 0.17.11 sürümünde düzeltilmiştir.