CVE-2026-42272
WysokieStreszczenie
Heimdall, usługa proxy i kontroli dostępu, przed wersją 0.17.14 obsługiwał zakodowane URL-e w sposób wrażliwy na wielkość liter, co prowadziło do problemów z interpretacją ścieżek żądań. W rezultacie, małe litery (%2f) nie były rozpoznawane, co mogło skutkować obejściem autoryzacji.
Ocena ryzyka
Organizacje mogą być narażone na ryzyko nieautoryzowanego dostępu do zasobów, ponieważ różnice w interpretacji ścieżek mogą prowadzić do obejścia mechanizmów zabezpieczeń.
Rekomendacja
Zaleca się aktualizację do wersji 0.17.14 lub nowszej, aby usunąć tę podatność oraz upewnienie się, że opcja allow_encoded_slashes jest odpowiednio skonfigurowana.
Inne podatności w Heimdall
Zobacz wszystkie- CVE-2026-82477Średnie
W MITRE SAF Heimdall w wersjach od 2.11.6 do 2.13.x przed 2.14.0 występuje podatność SSRF, która pozwala zdalnym atakującym na dostęp do wewnętrznych zasobów sieciowych przez endpoint proxy Tenable. Problem występuje w pliku apps/backend/src/tenable/tenable.controller.ts.
- CVE-2026-42274Wysokie
Heimdall przed wersją 0.17.14 wykonuje dopasowanie reguł na surowej ścieżce żądania, co może prowadzić do nieautoryzowanego dostępu. W wyniku różnicy w normalizacji ścieżek, Heimdall może autoryzować żądania dla jednej ścieżki, podczas gdy komponenty downstream przetwarzają inną, znormalizowaną ścieżkę.
- CVE-2026-42273Wysokie
Heimdall, usługa proxy i kontroli dostępu, przed wersją 0.17.14, porównywał hosty w sposób wrażliwy na wielkość liter, co jest niezgodne z zasadą, że nazwy hostów HTTP są niewrażliwe na wielkość liter. Może to prowadzić do błędnego klasyfikowania żądań, gdy różnią się one tylko wielkością liter.
Oryginalny opis (angielski, źródło NVD)
Heimdall is a cloud native Identity Aware Proxy and Access Control Decision service. Prior to version 0.17.14, Heimdall handles URL-encoded slashes (%2F) in a case-sensitive manner, while percent-encoding is defined to be case-insensitive. As a result, the lowercase equivalent (%2f) is not recognized and therefore not processed as expected when allow_encoded_slashes is set to off (the default setting). This discrepancy can lead to differences in how request paths are interpreted by heimdall and upstream components, which may result in authorization bypass. This issue has been patched in version 0.17.14.