CVE-2026-57210
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W Heimdall, gdy skonfigurowano opcję trusted_proxies, adresy IP klienta są wyodrębniane z nagłówków Forwarded i X-Forwarded-For i udostępniane jako Request.ClientIPAddresses, ale bez walidacji składniowej. Dowolne ciągi, zniekształcone adresy IP oraz niezidentyfikowane wartości RFC 7239 są akceptowane, a parser nagłówka Forwarded nie obsługuje poprawnie cudzysłowów, co może powodować błędne parsowanie. Podatność naprawiono w wersji 0.17.17.
Ocena ryzyka
Nieprawidłowe adresy IP mogą omijać reguły kontroli dostępu oparte na IP, prowadząc do nieautoryzowanego dostępu do chronionych zasobów. Może to osłabić polityki bezpieczeństwa oparte na zaufanych proxy.
Rekomendacja
Zaktualizuj Heimdall do wersji 0.17.17 lub nowszej. Do czasu aktualizacji rozważ wyłączenie trusted_proxies lub zaostrzenie reguł opartych na adresach IP.
Inne podatności w Heimdall
Zobacz wszystkie- CVE-2026-57209Wysokie
W Heimdall w trybie proxy nagłówek Forwarded jest konstruowany przez wstawienie wartości nagłówka Host bez sanityzacji przecinków i średników. Atakujący może wstrzyknąć dodatkowe parametry do nagłówka Forwarded, potencjalnie podszywając się pod adresy IP dla usług nadrzędnych. Podatność naprawiono w wersji 0.17.17.
- CVE-2026-107449Niskie
linuxserver Heimdall do wersji 2.8.3 stosuje mechanizm ochrony SSRF SafeUrlFetcher tylko do ItemController; żądania testu rozszerzonej aplikacji i statystyk na żywo odbywają się przez SupportedApps::execute(), klienta GuzzleHttp, który nie ma ograniczeń adresów IP. W niektórych realistycznych instalacjach punkty końcowe POST /test_config (i GET /get_stats) są dostępne przez CSRF, więc nieuwierzytelniony atakujący może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych hostów i portów (w tym 169.254.169.254) oraz odczytać status/oracle portu i częściowe dane odpowiedzi.
- CVE-2026-82477Średnie
W MITRE SAF Heimdall w wersjach od 2.11.6 do 2.13.x przed 2.14.0 występuje podatność SSRF, która pozwala zdalnym atakującym na dostęp do wewnętrznych zasobów sieciowych przez endpoint proxy Tenable. Problem występuje w pliku apps/backend/src/tenable/tenable.controller.ts.
- CVE-2026-42274Wysokie
Heimdall przed wersją 0.17.14 wykonuje dopasowanie reguł na surowej ścieżce żądania, co może prowadzić do nieautoryzowanego dostępu. W wyniku różnicy w normalizacji ścieżek, Heimdall może autoryzować żądania dla jednej ścieżki, podczas gdy komponenty downstream przetwarzają inną, znormalizowaną ścieżkę.
- CVE-2026-42273Wysokie
Heimdall, usługa proxy i kontroli dostępu, przed wersją 0.17.14, porównywał hosty w sposób wrażliwy na wielkość liter, co jest niezgodne z zasadą, że nazwy hostów HTTP są niewrażliwe na wielkość liter. Może to prowadzić do błędnego klasyfikowania żądań, gdy różnią się one tylko wielkością liter.
- CVE-2026-42272Wysokie
Heimdall, usługa proxy i kontroli dostępu, przed wersją 0.17.14 obsługiwał zakodowane URL-e w sposób wrażliwy na wielkość liter, co prowadziło do problemów z interpretacją ścieżek żądań. W rezultacie, małe litery (%2f) nie były rozpoznawane, co mogło skutkować obejściem autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Heimdall is a cloud native Identity Aware Proxy and Access Control Decision service. Prior to version 0.17.17, when the trusted_proxies option is configured, heimdall extracts client IP addresses from the Forwarded (for= parameter) and X-Forwarded-For headers and exposes them as Request.ClientIPAddresses to the rule pipeline. However, extracted values are not validated to be syntactically valid IP addresses. Arbitrary strings, malformed IP literals, and RFC 7239 unknown values and obfuscated identifiers are accepted without further checks. In addition, the Forwarded header parser splits on , and ; without accounting for RFC 7239 quoted strings, which can cause a single quoted value to be parsed as multiple entries, with fragments — including trailing quote characters — treated as independent addresses. This issue has been patched in version 0.17.17.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS