Podatności Steeltoe

Steeltoe to projekt open source dostarczający zestaw bibliotek pomagających użytkownikom w budowaniu aplikacji natywnych dla chmury. Przed wersją 4.3.0, wdrożenia Steeltoe.Security.Authorization.Certificate korzystające z AddOrgAndSpacePolicies() i UseCertificateAuthorization() ufają publicznemu certyfikatowi dostarczonemu w nagłówku X-Client-Cert bez dowodu posiadania odpowiadającego klucza prywatnego. Typowe routery Cloud Foundry nie usuwają tego nagłówka z przychodzących żądań. Gdy przychodzące żądania nie są ograniczone do znanego zaufanego adresu IP proxy, atakujący, który uzyska publiczny certyfikat instancji aplikacji w docelowej organizacji lub przestrzeni i może dotrzeć do aplikacji, może sfałszować X-Client-Cert, aby ominąć polityki SameOrg i SameSpace na okres ważności certyfikatu. Problem został naprawiony w wersji 4.3.0.

Steeltoe w wersjach od 4.0.0 do 4.3.0 w ConsulDiscoveryClient tworzy obiekty ConsulServiceInstance, parsując metadane secure z rejestracji przy użyciu ścisłej konwersji logicznej. Podmiot mogący zarejestrować usługę w Consul może podać wartość inną niż true lub false, co powoduje wyjątek przerywający budowanie całej listy instancji i czyni docelową usługę niewykrywalną, a przy GetAllInstancesAsync może przerwać wyliczanie wszystkich usług.

Steeltoe w wersjach od 4.0.0 do 4.3.0 w EurekaDiscoveryClient deserializuje odpowiedź rejestru jako jedną całość, więc nierozpoznany actionType lub status, niebędące wartością logiczną isCoordinatingDiscoveryServer albo nienumeryczny timestamp mogą przerwać całą odpowiedź. Podmiot mogący zarejestrować lub zaktualizować instancję może spowodować, że wszystkie połączone klienty Steeltoe otrzymają pustą lub nieaktualną listę instancji.

W bibliotece Steeltoe przed wersją 4.3.0 endpoint /actuator/httpexchanges maskuje jedynie informacje o użytkowniku w URI, ale nie sprawdza ciągów zapytań. Gdy włączona jest opcja IncludeQueryString, odpowiedź może ujawnić tokeny OAuth, tokeny resetowania hasła, sygnatury URL, klucze API i inne sekrety z wcześniejszego ruchu. Dodatkowo logger DEBUG tego endpointu również zapisuje te URI, tworząc drugi kanał wycieku.