CVE-2026-75523
ŚrednieCVSS 5.9Streszczenie
W bibliotece Steeltoe przed wersją 4.3.0 endpoint /actuator/httpexchanges maskuje jedynie informacje o użytkowniku w URI, ale nie sprawdza ciągów zapytań. Gdy włączona jest opcja IncludeQueryString, odpowiedź może ujawnić tokeny OAuth, tokeny resetowania hasła, sygnatury URL, klucze API i inne sekrety z wcześniejszego ruchu. Dodatkowo logger DEBUG tego endpointu również zapisuje te URI, tworząc drugi kanał wycieku.
Ocena ryzyka
Atakujący z dostępem do wystawionego endpointu lub do logów może pozyskać poufne sekrety z ciągów zapytań, co może prowadzić do przejęcia kont lub nieautoryzowanego dostępu do usług. Ryzyko jest szczególnie wysokie, gdy endpoint jest publicznie dostępny.
Rekomendacja
Zaktualizuj Steeltoe do wersji 4.3.0 lub nowszej. Ogranicz dostęp do endpointu /actuator/httpexchanges oraz do logów DEBUG, a jeśli to możliwe, wyłącz opcję IncludeQueryString.
Inne podatności w Steeltoe
Zobacz wszystkie- CVE-2026-81868Średnie
Steeltoe to projekt open source dostarczający zestaw bibliotek pomagających użytkownikom w budowaniu aplikacji natywnych dla chmury. Przed wersją 4.3.0, wdrożenia Steeltoe.Security.Authorization.Certificate korzystające z AddOrgAndSpacePolicies() i UseCertificateAuthorization() ufają publicznemu certyfikatowi dostarczonemu w nagłówku X-Client-Cert bez dowodu posiadania odpowiadającego klucza prywatnego. Typowe routery Cloud Foundry nie usuwają tego nagłówka z przychodzących żądań. Gdy przychodzące żądania nie są ograniczone do znanego zaufanego adresu IP proxy, atakujący, który uzyska publiczny certyfikat instancji aplikacji w docelowej organizacji lub przestrzeni i może dotrzeć do aplikacji, może sfałszować X-Client-Cert, aby ominąć polityki SameOrg i SameSpace na okres ważności certyfikatu. Problem został naprawiony w wersji 4.3.0.
- CVE-2026-81516Wysokie
Steeltoe w wersjach od 4.0.0 do 4.3.0 w ConsulDiscoveryClient tworzy obiekty ConsulServiceInstance, parsując metadane secure z rejestracji przy użyciu ścisłej konwersji logicznej. Podmiot mogący zarejestrować usługę w Consul może podać wartość inną niż true lub false, co powoduje wyjątek przerywający budowanie całej listy instancji i czyni docelową usługę niewykrywalną, a przy GetAllInstancesAsync może przerwać wyliczanie wszystkich usług.
- CVE-2026-81515Wysokie
Steeltoe w wersjach od 4.0.0 do 4.3.0 w EurekaDiscoveryClient deserializuje odpowiedź rejestru jako jedną całość, więc nierozpoznany actionType lub status, niebędące wartością logiczną isCoordinatingDiscoveryServer albo nienumeryczny timestamp mogą przerwać całą odpowiedź. Podmiot mogący zarejestrować lub zaktualizować instancję może spowodować, że wszystkie połączone klienty Steeltoe otrzymają pustą lub nieaktualną listę instancji.
Oryginalny opis (angielski, źródło NVD)
Steeltoe is an open source project that provides a collection of libraries that helps users build cloud-native applications. Prior to 4.3.0, the Steeltoe.Management.Endpoint /actuator/httpexchanges endpoint passes recorded request URIs through MaskedUri, which masks URI user information but does not inspect query strings. When Management:Endpoints:HttpExchanges:IncludeQueryString is enabled, the HttpExchangeRequest response can disclose OAuth tokens, password-reset tokens, signed-URL signatures, API keys, and other query-string secrets from prior traffic to a caller that can reach the explicitly exposed endpoint. The Steeltoe.Management.Endpoint.Actuators.HttpExchanges DEBUG logger also records these URIs, creating a second disclosure channel for users with log access. This issue is fixed in version 4.3.0.