CVE-2026-57209
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W Heimdall w trybie proxy nagłówek Forwarded jest konstruowany przez wstawienie wartości nagłówka Host bez sanityzacji przecinków i średników. Atakujący może wstrzyknąć dodatkowe parametry do nagłówka Forwarded, potencjalnie podszywając się pod adresy IP dla usług nadrzędnych. Podatność naprawiono w wersji 0.17.17.
Ocena ryzyka
Podszycie się pod adres IP może omijać mechanizmy kontroli dostępu i fałszować logi w usługach nadrzędnych. Może to prowadzić do nieautoryzowanego dostępu lub błędnych decyzji bezpieczeństwa.
Rekomendacja
Zaktualizuj Heimdall do wersji 0.17.17 lub nowszej. Do czasu aktualizacji rozważ ograniczenie trybu proxy lub weryfikację nagłówków Forwarded po stronie usług nadrzędnych.
Inne podatności w Heimdall
Zobacz wszystkie- CVE-2026-57210Wysokie
W Heimdall, gdy skonfigurowano opcję trusted_proxies, adresy IP klienta są wyodrębniane z nagłówków Forwarded i X-Forwarded-For i udostępniane jako Request.ClientIPAddresses, ale bez walidacji składniowej. Dowolne ciągi, zniekształcone adresy IP oraz niezidentyfikowane wartości RFC 7239 są akceptowane, a parser nagłówka Forwarded nie obsługuje poprawnie cudzysłowów, co może powodować błędne parsowanie. Podatność naprawiono w wersji 0.17.17.
- CVE-2026-107449Niskie
linuxserver Heimdall do wersji 2.8.3 stosuje mechanizm ochrony SSRF SafeUrlFetcher tylko do ItemController; żądania testu rozszerzonej aplikacji i statystyk na żywo odbywają się przez SupportedApps::execute(), klienta GuzzleHttp, który nie ma ograniczeń adresów IP. W niektórych realistycznych instalacjach punkty końcowe POST /test_config (i GET /get_stats) są dostępne przez CSRF, więc nieuwierzytelniony atakujący może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych hostów i portów (w tym 169.254.169.254) oraz odczytać status/oracle portu i częściowe dane odpowiedzi.
- CVE-2026-82477Średnie
W MITRE SAF Heimdall w wersjach od 2.11.6 do 2.13.x przed 2.14.0 występuje podatność SSRF, która pozwala zdalnym atakującym na dostęp do wewnętrznych zasobów sieciowych przez endpoint proxy Tenable. Problem występuje w pliku apps/backend/src/tenable/tenable.controller.ts.
- CVE-2026-42274Wysokie
Heimdall przed wersją 0.17.14 wykonuje dopasowanie reguł na surowej ścieżce żądania, co może prowadzić do nieautoryzowanego dostępu. W wyniku różnicy w normalizacji ścieżek, Heimdall może autoryzować żądania dla jednej ścieżki, podczas gdy komponenty downstream przetwarzają inną, znormalizowaną ścieżkę.
- CVE-2026-42273Wysokie
Heimdall, usługa proxy i kontroli dostępu, przed wersją 0.17.14, porównywał hosty w sposób wrażliwy na wielkość liter, co jest niezgodne z zasadą, że nazwy hostów HTTP są niewrażliwe na wielkość liter. Może to prowadzić do błędnego klasyfikowania żądań, gdy różnią się one tylko wielkością liter.
- CVE-2026-42272Wysokie
Heimdall, usługa proxy i kontroli dostępu, przed wersją 0.17.14 obsługiwał zakodowane URL-e w sposób wrażliwy na wielkość liter, co prowadziło do problemów z interpretacją ścieżek żądań. W rezultacie, małe litery (%2f) nie były rozpoznawane, co mogło skutkować obejściem autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Heimdall is a cloud native Identity Aware Proxy and Access Control Decision service. Prior to version 0.17.17, when Heimdall operates in proxy mode, it constructs the Forwarded HTTP header after executing the matched rule pipeline by inserting the incoming request's Host header value directly into the header string without sanitizing commas or semicolons. This allows an attacker to inject additional parameters into the Forwarded header, potentially spoofing IP addresses for upstream services. This issue has been patched in version 0.17.17.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS