CVE-2026-19363
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Podatność w lmammino oidc-authorizer do wersji 0.4.0 dotyczy nieznanej funkcji w pliku src/handler.rs komponentu Lambda Authorizer. Manipulacja prowadzi do ujawnienia wrażliwych informacji w plikach logów. Atak może być wykonany zdalnie. src/handler.rs loguje surowe wartości nagłówka Authorization oraz kompletne tokeny bearer/JWT na ścieżkach błędu uwierzytelniania, potencjalnie ujawniając poświadczenia w CloudWatch Logs. src/models.rs serializuje kompletny zestaw zweryfikowanych roszczeń JWT za pomocą serde_json::to_string(token_claims).unwrap() i propaguje go przez context["jwtClaims"] do integracji downstream. Ten kod wykonuje serializację, a nie deserializację, i nie przetwarza danych wejściowych jwtClaims kontrolowanych przez atakującego. Exploit został upubliczniony i może być użyty. Dostawca został wcześnie poinformowany o tym ujawnieniu, ale nie odpowiedział.
Ocena ryzyka
Ujawnienie tokenów JWT i poświadczeń w logach może umożliwić atakującemu przechwycenie sesji lub eskalację uprawnień w środowisku chmurowym.
Rekomendacja
Zaktualizuj oidc-authorizer do wersji nowszej niż 0.4.0, jeśli dostępna, oraz unikaj logowania wrażliwych danych, takich jak nagłówki Authorization.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in lmammino oidc-authorizer up to 0.4.0. Impacted is an unknown function of the file src/handler.rs of the component Lambda Authorizer. The manipulation results in sensitive information in log files. The attack can be executed remotely. `src/handler.rs` logs raw Authorization header values and complete bearer tokens/JWTs on authentication failure paths, potentially exposing credentials through CloudWatch Logs. `src/models.rs` serializes the complete validated JWT claims set with `serde_json::to_string(token_claims).unwrap()` and propagates it through `context["jwtClaims"]` to downstream integrations. This code performs serialization, not deserialization, and does not process attacker-controlled `jwtClaims` input. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.