CVE-2026-80515

Eclipse Arrowhead 5.0.0 ile 5.2.1 arasındaki sürümlerde, her /…/mgmt/… REST uç noktasını koruyan management-authorization kapısı, kontrolü uygulayıp uygulamayacağına request.getRequestURL().toString().contains("/mgmt/") fonksiyonunu çağırarak karar verir. Tomcat, getRequestURL() sonucunu çözülmemiş (un-decoded) olarak döndürürken, Spring MVC'nin DispatcherServlet bileşeni çözümlenmiş yol üzerinden yönlendirme yapar. Bu nedenle, /serviceregistry/%6Dgmt/systems (%6D == m) şeklinde yapılan bir istek alt dize kontrolünden geçemez; filtre kimlik doğrulaması yapmadan işlemi geçer ancak istek /serviceregistry/mgmt/systems olarak çözümlenir ve yönetim denetleyicisine (management controller) gönderilir. Spring Security'nin StrictHttpFirewall bileşeni (arrowhead-common içinde spring-boot-starter-security aracılığıyla aktiftir) yalnızca kodlanmış / \ . % ; karakterlerini ve null baytları reddeder, bu nedenle yüzdeyle kodlanmış ASCII harfleri filtreden geçer. Herhangi bir kimliği doğrulanmış sistem, ayrıcalık seviyesine bakılmaksızın, yeni sysop hesapları oluşturan POST /authentication/mgmt/identities dahil olmak üzere tüm yönetim işlemlerine erişebilir ve bu durum yerel bulutun tam idari kontrolünün ele geçirilmesine yol açar.