CVE-2026-34457
Açıklama
OAuth2 Proxy, OAuth2 sağlayıcılarını kullanarak kimlik doğrulama sağlayan bir ters vekil sunucudur. 7.15.2 öncesindeki sürümler, OAuth2 Proxy'nin bir auth_request tarzı entegrasyonla (nginx auth_request gibi) kullanıldığı ve --ping-user-agent parametresinin ayarlandığı veya --gcp-healthchecks özelliğinin etkinleştirildiği dağıtımlarda konfigürasyona bağlı bir kimlik doğrulama atlatma açığı içermektedir. Etkilenen konfigürasyonlarda OAuth2 Proxy, yapılandırılmış sağlık kontrolü User-Agent değerine sahip herhangi bir isteği, istenen yoldan bağımsız olarak başarılı bir sağlık kontrolü olarak değerlendirir; bu durum, kimliği doğrulanmamış uzak bir saldırganın kimlik doğrulamasını atlamasına ve korunan üst akış kaynaklarına erişmesine olanak tanır. auth_request tarzı alt istekler kullanmayan veya --ping-user-agent/--gcp-healthchecks özelliklerini etkinleştirmeyen dağıtımlar etkilenmemektedir. Bu sorun 7.15.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- oauth2_proxy_project oauth2_proxy7.15.2 ya da sonraki bir sürüm
- github.com/oauth2-proxy/oauth2-proxy/v77.15.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| oauth2_proxy_project oauth2_proxy | v < 7.15.2 | 7.15.2 |
| github.com/oauth2-proxy/oauth2-proxy/v7Go | v < 7.15.2 | 7.15.2 |
| github.com/oauth2-proxy/oauth2-proxyGo | v ≤ 3.2.0, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.