CVE-2026-42273
WysokieStreszczenie
Heimdall, usługa proxy i kontroli dostępu, przed wersją 0.17.14, porównywał hosty w sposób wrażliwy na wielkość liter, co jest niezgodne z zasadą, że nazwy hostów HTTP są niewrażliwe na wielkość liter. Może to prowadzić do błędnego klasyfikowania żądań, gdy różnią się one tylko wielkością liter.
Ocena ryzyka
Organizacje mogą napotkać problemy z bezpieczeństwem, gdy żądania są niewłaściwie klasyfikowane, co może prowadzić do nieautoryzowanego dostępu lub niewłaściwego stosowania reguł dostępu.
Rekomendacja
Zaleca się aktualizację do wersji 0.17.14 lub nowszej, aby wyeliminować problem z wrażliwością na wielkość liter w porównywaniu hostów.
Inne podatności w Heimdall
Zobacz wszystkie- CVE-2026-82477Średnie
W MITRE SAF Heimdall w wersjach od 2.11.6 do 2.13.x przed 2.14.0 występuje podatność SSRF, która pozwala zdalnym atakującym na dostęp do wewnętrznych zasobów sieciowych przez endpoint proxy Tenable. Problem występuje w pliku apps/backend/src/tenable/tenable.controller.ts.
- CVE-2026-42274Wysokie
Heimdall przed wersją 0.17.14 wykonuje dopasowanie reguł na surowej ścieżce żądania, co może prowadzić do nieautoryzowanego dostępu. W wyniku różnicy w normalizacji ścieżek, Heimdall może autoryzować żądania dla jednej ścieżki, podczas gdy komponenty downstream przetwarzają inną, znormalizowaną ścieżkę.
- CVE-2026-42272Wysokie
Heimdall, usługa proxy i kontroli dostępu, przed wersją 0.17.14 obsługiwał zakodowane URL-e w sposób wrażliwy na wielkość liter, co prowadziło do problemów z interpretacją ścieżek żądań. W rezultacie, małe litery (%2f) nie były rozpoznawane, co mogło skutkować obejściem autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Heimdall is a cloud native Identity Aware Proxy and Access Control Decision service. Prior to version 0.17.14, Heimdall performs host matching in a case-sensitive manner, while HTTP hostnames are case-insensitive. This discrepancy can result in heimdall failing to match a rule for a request host that differs only in letter casing, potentially causing the request to be classified differently than intended. This issue has been patched in version 0.17.14.