CVE-2026-76835
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
OAuth2 Proxy honoruje nagłówek X-Forwarded-Uri dostarczany przez klienta przy podejmowaniu decyzji, czy żądanie może pominąć uwierzytelnianie, ponieważ zabezpieczenie dodane dla CVE-2026-40575 jest nieskuteczne w domyślnej konfiguracji reverse proxy. Funkcja GetRequestURI preferuje ten nagłówek nad rzeczywistym URI żądania, gdy CanTrustForwardedHeaders zwraca true, a isAllowedPath dopasowuje listę dozwolonych tras do wynikowej ścieżki. CanTrustForwardedHeaders przyznaje zaufanie, gdy adres wywołującego znajduje się w zaufanym zestawie proxy, a buildTrustedProxyNetSet domyślnie używa 0.0.0.0/0 i ::/0, gdy tryb reverse proxy jest włączony bez skonfigurowanego trusted_proxy_ip. Każdy klient jest więc traktowany jako zaufane proxy. Nieuwierzytelniony atakujący może żądać chronionej ścieżki, ustawiając X-Forwarded-Uri na wartość pasującą do dozwolonej trasy, więc decyzja o pominięciu uwierzytelniania jest podejmowana na podstawie sfałszowanej wartości, podczas gdy upstream otrzymuje niezmienioną chronioną ścieżkę.
Ocena ryzyka
Nieuwierzytelniony atakujący może ominąć uwierzytelnianie i uzyskać dostęp do chronionych zasobów, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Skonfiguruj trusted_proxy_ip z listą zaufanych adresów proxy lub zaktualizuj OAuth2 Proxy do wersji z poprawką, która uniemożliwia zaufanie do nagłówka X-Forwarded-Uri w domyślnej konfiguracji.
Inne podatności w OAuth2 Proxy
Zobacz wszystkie- CVE-2017-1000069Wysokie
W podatności CVE-2017-1000069 występuje atak CSRF w oauth2_proxy wersji 2.1, który może wystąpić podczas procesu uwierzytelniania.
- CVE-2026-40575Krytyczne
OAuth2 Proxy w wersjach 7.5.0 do 7.15.1 może ufać nagłówkowi `X-Forwarded-Uri` dostarczonemu przez klienta, gdy włączona jest opcja `--reverse-proxy` i skonfigurowane są reguły `--skip-auth-regex` lub `--skip-auth-route`. Atakujący może sfałszować ten nagłówek, aby ominąć uwierzytelnianie i uzyskać dostęp do chronionych ścieżek bez ważnej sesji.
- CVE-2026-34457Krytyczne
OAuth2 Proxy przed wersją 7.15.2 zawiera lukę ominięcia uwierzytelniania w konfiguracjach z auth_request (np. nginx auth_request) i włączonym --ping-user-agent lub --gcp-healthchecks. Luka pozwala na dostęp do chronionych zasobów bez uwierzytelnienia.
- CVE-2026-34454Niskie
W OAuth2 Proxy w wersji 7.11.0 wprowadzono regresję, która uniemożliwia wyczyszczenie sesyjnego ciasteczka podczas renderowania strony logowania. W środowiskach używających strony logowania jako części procesu wylogowania, użytkownik może zobaczyć stronę logowania, podczas gdy istniejące ciasteczko sesyjne pozostaje ważne, co oznacza, że sesja przeglądarki nie jest faktycznie zakończona. Na współdzielonych stacjach roboczych kolejny użytkownik może kontynuować korzystanie z uwierzytelnionej sesji poprzednika. Problem rozwiązano w wersji 7.15.2.
Oryginalny opis (angielski, źródło NVD)
OAuth2 Proxy honours a client-supplied X-Forwarded-Uri header when deciding whether a request may skip authentication, because the guard added for CVE-2026-40575 is inert in the default reverse-proxy configuration. GetRequestURI in pkg/requests/util/util.go prefers that header over the real request URI whenever CanTrustForwardedHeaders returns true, and isAllowedPath in oauthproxy.go matches the skip_auth_routes and skip_auth_regex allow list against the resulting path. CanTrustForwardedHeaders in pkg/apis/middleware/scope.go grants that trust when the caller's address is in the trusted proxy set, and buildTrustedProxyNetSet falls back to defaultTrustedProxyIPs, which is 0.0.0.0/0 and ::/0, whenever reverse proxy mode is enabled without trusted_proxy_ip configured. Every client is therefore treated as a trusted proxy. An unauthenticated attacker can request a protected upstream path while setting X-Forwarded-Uri to a value matching an allow-listed route, so the skip-auth decision is made against the spoofed value while the upstream receives the protected path unchanged.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS