CVE-2024-1979

Wykryto wadę w zabezpieczeniach HTTP Quarkus. Nieuwierzytelniony atakujący może wykorzystać rozbieżność w normalizacji ścieżek między matcherem bezpieczeństwa a dyspozytorami żądań HTTP, tworząc URL uznawany przez matcher za publiczny, który następnie jest kierowany do chronionego punktu końcowego, co prowadzi do obejścia autoryzacji i potencjalnego nieautoryzowanego dostępu do poufnych informacji.

W aplikacji Quarkus z wieloma punktami końcowymi zabezpieczonymi przez różnych dostawców OIDC, gdy włączony jest opcjonalny cache introspekcji tokenów, ważny token wydany przez dostawcę OIDC 1 może być użyty do uzyskania dostępu do punktu końcowego zabezpieczonego przez dostawcę OIDC 2.

Podatność w Quarkus umożliwia ominięcie polityk autoryzacji opartych na ścieżce HTTP poprzez użycie zakodowanych średników (%3B) i ukośników (%2F lub %5C).

Quarkus przed wersjami 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 i 3.35.2 ma niespójność normalizacji ścieżek między warstwą bezpieczeństwa a routingiem. Atakujący może ominąć polityki autoryzacji, dodając średnik i dowolny tekst do URL (np. /api/admin;anything).

W frameworku Quarkus przed wersjami 3.31.0, 3.27.2 i 3.20.5 istnieje podatność w warstwie HTTP Quarkus REST. Podczas zapisu odpowiedzi framework czeka na pełne przesłanie wcześniej zapisanych fragmentów; jeśli połączenie klienta zostanie przerwane, wątek roboczy nigdy nie jest zwalniany i zostaje trwale zablokowany. Może to doprowadzić do wyczerpania wątków roboczych i niedostępności aplikacji.

W implementacji RESTEasy Reactive w Quarkus wykryto błąd, polegający na tym, że kontrole bezpieczeństwa dla niektórych punktów końcowych JAX-RS są wykonywane po serializacji, co zwiększa zużycie zasobów podczas sprawdzania żądań HTTP. W pewnych konfiguracjach atakujący znający ścieżki żądań POST, PUT lub PATCH może przeciążyć podatne punkty końcowe, prowadząc do odmowy usługi.

Podatność w Quarkus, gdzie polityki bezpieczeństwa HTTP nie sanityzują poprawnie niektórych permutacji znaków podczas akceptowania żądań, co prowadzi do nieprawidłowej oceny uprawnień. Atakujący może ominąć politykę bezpieczeństwa, uzyskując nieautoryzowany dostęp do punktów końcowych i potencjalnie powodując odmowę usługi.