Podatności OAuth2 Proxy

W podatności CVE-2017-1000069 występuje atak CSRF w oauth2_proxy wersji 2.1, który może wystąpić podczas procesu uwierzytelniania.

OAuth2 Proxy honoruje nagłówek X-Forwarded-Uri dostarczany przez klienta przy podejmowaniu decyzji, czy żądanie może pominąć uwierzytelnianie, ponieważ zabezpieczenie dodane dla CVE-2026-40575 jest nieskuteczne w domyślnej konfiguracji reverse proxy. Funkcja GetRequestURI preferuje ten nagłówek nad rzeczywistym URI żądania, gdy CanTrustForwardedHeaders zwraca true, a isAllowedPath dopasowuje listę dozwolonych tras do wynikowej ścieżki. CanTrustForwardedHeaders przyznaje zaufanie, gdy adres wywołującego znajduje się w zaufanym zestawie proxy, a buildTrustedProxyNetSet domyślnie używa 0.0.0.0/0 i ::/0, gdy tryb reverse proxy jest włączony bez skonfigurowanego trusted_proxy_ip. Każdy klient jest więc traktowany jako zaufane proxy. Nieuwierzytelniony atakujący może żądać chronionej ścieżki, ustawiając X-Forwarded-Uri na wartość pasującą do dozwolonej trasy, więc decyzja o pominięciu uwierzytelniania jest podejmowana na podstawie sfałszowanej wartości, podczas gdy upstream otrzymuje niezmienioną chronioną ścieżkę.

OAuth2 Proxy w wersjach 7.5.0 do 7.15.1 może ufać nagłówkowi `X-Forwarded-Uri` dostarczonemu przez klienta, gdy włączona jest opcja `--reverse-proxy` i skonfigurowane są reguły `--skip-auth-regex` lub `--skip-auth-route`. Atakujący może sfałszować ten nagłówek, aby ominąć uwierzytelnianie i uzyskać dostęp do chronionych ścieżek bez ważnej sesji.

OAuth2 Proxy przed wersją 7.15.2 zawiera lukę ominięcia uwierzytelniania w konfiguracjach z auth_request (np. nginx auth_request) i włączonym --ping-user-agent lub --gcp-healthchecks. Luka pozwala na dostęp do chronionych zasobów bez uwierzytelnienia.

W OAuth2 Proxy w wersji 7.11.0 wprowadzono regresję, która uniemożliwia wyczyszczenie sesyjnego ciasteczka podczas renderowania strony logowania. W środowiskach używających strony logowania jako części procesu wylogowania, użytkownik może zobaczyć stronę logowania, podczas gdy istniejące ciasteczko sesyjne pozostaje ważne, co oznacza, że sesja przeglądarki nie jest faktycznie zakończona. Na współdzielonych stacjach roboczych kolejny użytkownik może kontynuować korzystanie z uwierzytelnionej sesji poprzednika. Problem rozwiązano w wersji 7.15.2.