CVE-2026-55771
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W bibliotece CedarJava w wersjach przed 4.9.0 metoda EntityIdentifier.equals() zawiera odwróconą logikę dla porównań z null i z samym sobą, co prowadzi do nieprawidłowych wyników równości. Problem nie wpływa na decyzje autoryzacyjne Cedar, ale może dotyczyć integratorów wykonujących własne porównania identyfikatorów encji.
Ocena ryzyka
Organizacje używające własnych porównań identyfikatorów encji mogą otrzymywać błędne wyniki, co potencjalnie prowadzi do nieprawidłowej logiki biznesowej lub błędów w zarządzaniu dostępem.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki CedarJava do wersji 4.9.0 lub nowszej, która zawiera poprawkę dla odwróconej logiki w metodzie EntityIdentifier.equals().
Inne podatności w CedarJava
Zobacz wszystkie- CVE-2026-55773Wysokie
W bibliotece CedarJava przed wersjami 2.3.6, 3.4.1 i 4.9.0 stwierdzono podatność na wstrzykiwanie wyrażeń Cedar. Metoda toCedarExpr() nie odpowiednio zabezpiecza znaków specjalnych, co może pozwolić atakującemu na wstrzyknięcie dowolnych wyrażeń polityki.
- CVE-2026-55772Wysokie
CedarJava przed wersjami 2.3.6, 3.4.1 i 4.9.0 zawiera podatność polegającą na nieprawidłowym przetwarzaniu danych wejściowych, która może prowadzić do pomylenia typu Record-to-Entity przez granicę FFI Java-Rust. CedarJava wysyła żądania autoryzacji do ewaluatora Rust cedar-policy jako JSON. Protokół JSON rezerwuje magiczne kształty obiektów z pojedynczym kluczem (__entity i __extn) dla referencji encji i wartości rozszerzeń. Podczas serializacji CedarMap nie ma walidacji zapobiegającej użyciu tych zastrzeżonych kluczy. Jeśli integrująca usługa buduje CedarMap z danych klucz/wartość dostarczonych przez wywołującego (takich jak nagłówki żądań, metadane zdefiniowane przez użytkownika lub tagi zasobów), osoba kontrolująca te klucze może spowodować, że ewaluator Rust zinterpretuje rekord jako referencję encji. Podatność została naprawiona w wersjach 2.3.6, 3.4.1 i 4.9.
Oryginalny opis (angielski, źródło NVD)
CedarJava is an open source Java implementation of the Cedar policy language, used for fine-grained authorization decisions. In versions prior to 4.9.0, the EntityIdentifier.equals() has inverted null/self branches which could lead to incorrect equality comparisons. The EntityIdentifier.equals() method has inverted logic for null and self-reference checks, returning true for null comparisons and false for self-comparisons. This does not affect Cedar authorization decisions (computed in Rust from JSON), but could affect integrators who perform their own equality checks on entity identifiers. This issue has been fixed in version 4.9.0.