Podatności Quarkus

Wykryto wadę w zabezpieczeniach HTTP Quarkus. Nieuwierzytelniony atakujący może wykorzystać rozbieżność w normalizacji ścieżek między matcherem bezpieczeństwa a dyspozytorami żądań HTTP, tworząc URL uznawany przez matcher za publiczny, który następnie jest kierowany do chronionego punktu końcowego, co prowadzi do obejścia autoryzacji i potencjalnego nieautoryzowanego dostępu do poufnych informacji.

W aplikacji Quarkus z wieloma punktami końcowymi zabezpieczonymi przez różnych dostawców OIDC, gdy włączony jest opcjonalny cache introspekcji tokenów, ważny token wydany przez dostawcę OIDC 1 może być użyty do uzyskania dostępu do punktu końcowego zabezpieczonego przez dostawcę OIDC 2.

Podatność w Quarkus umożliwia ominięcie polityk autoryzacji opartych na ścieżce HTTP poprzez użycie zakodowanych średników (%3B) i ukośników (%2F lub %5C).

Quarkus przed wersjami 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 i 3.35.2 ma niespójność normalizacji ścieżek między warstwą bezpieczeństwa a routingiem. Atakujący może ominąć polityki autoryzacji, dodając średnik i dowolny tekst do URL (np. /api/admin;anything).

W implementacji RESTEasy Reactive w Quarkus wykryto błąd, polegający na tym, że kontrole bezpieczeństwa dla niektórych punktów końcowych JAX-RS są wykonywane po serializacji, co zwiększa zużycie zasobów podczas sprawdzania żądań HTTP. W pewnych konfiguracjach atakujący znający ścieżki żądań POST, PUT lub PATCH może przeciążyć podatne punkty końcowe, prowadząc do odmowy usługi.

W produkcie Quarkus znaleziono podatność, która w określonych warunkach związanych z procesem CI może doprowadzić do przypadkowego opublikowania poświadczeń git, co może narazić repozytorium git na ryzyko.

Podatność w Quarkus, gdzie polityki bezpieczeństwa HTTP nie sanityzują poprawnie niektórych permutacji znaków podczas akceptowania żądań, co prowadzi do nieprawidłowej oceny uprawnień. Atakujący może ominąć politykę bezpieczeństwa, uzyskując nieautoryzowany dostęp do punktów końcowych i potencjalnie powodując odmowę usługi.