Podatności CedarJava

W bibliotece CedarJava przed wersjami 2.3.6, 3.4.1 i 4.9.0 stwierdzono podatność na wstrzykiwanie wyrażeń Cedar. Metoda toCedarExpr() nie odpowiednio zabezpiecza znaków specjalnych, co może pozwolić atakującemu na wstrzyknięcie dowolnych wyrażeń polityki.

W bibliotece CedarJava w wersjach przed 4.9.0 metoda EntityIdentifier.equals() zawiera odwróconą logikę dla porównań z null i z samym sobą, co prowadzi do nieprawidłowych wyników równości. Problem nie wpływa na decyzje autoryzacyjne Cedar, ale może dotyczyć integratorów wykonujących własne porównania identyfikatorów encji.

CedarJava przed wersjami 2.3.6, 3.4.1 i 4.9.0 zawiera podatność polegającą na nieprawidłowym przetwarzaniu danych wejściowych, która może prowadzić do pomylenia typu Record-to-Entity przez granicę FFI Java-Rust. CedarJava wysyła żądania autoryzacji do ewaluatora Rust cedar-policy jako JSON. Protokół JSON rezerwuje magiczne kształty obiektów z pojedynczym kluczem (__entity i __extn) dla referencji encji i wartości rozszerzeń. Podczas serializacji CedarMap nie ma walidacji zapobiegającej użyciu tych zastrzeżonych kluczy. Jeśli integrująca usługa buduje CedarMap z danych klucz/wartość dostarczonych przez wywołującego (takich jak nagłówki żądań, metadane zdefiniowane przez użytkownika lub tagi zasobów), osoba kontrolująca te klucze może spowodować, że ewaluator Rust zinterpretuje rekord jako referencję encji. Podatność została naprawiona w wersjach 2.3.6, 3.4.1 i 4.9.