OAuth2 Proxy - это обратный прокси, который обеспечивает аутентификацию с использованием поставщиков OAuth2. Версификации 7.5.0-7.15.1 могу…

OAuth2 Proxy - это обратный прокси, который обеспечивает аутентификацию с использованием поставщиков OAuth2. Версификации 7.5.0-7.15.1 могут доверять клиенту поставляемый клиентом заголовок "X-Sip-Uri`" при включении "-reverse-proxy`" и "--skip-auth-regex` или "--reverse-proxy`" настроен "X-sip-uth-regex`" или "--reverse-proxy`". Нападатель может подделать этот заголовок, поэтому OAuth2 Proxy оценивает правила аутентификации и пропуска по другому пути, чем тот, который фактически отправлен в приложение выше по течению. Это может привести к тому, что удаленный злоумышленник без аутентификации обойдет аутентификацию и попадет в защищенные маршруты без действительного сеанса. Пострадавшими пользователями являются развертывания, которые запускают oaut2-proxy с включенным `-reverse-proxy` и настраивают по меньшей мере одно `--skip-auth-regex` или `--skip-aute-route` правило "-sp-aute-route". Этот вопрос исправлен в `v7.15.2`. Некоторые обходные пути доступны для тех, кто не может обновиться немедленно. Разберите любой заголовок, предоставляемый клиентом `X-Перенаправленный Uri` на обратный прокси или балансир нагрузки; явно перезаписывайте `X-Ox-Forwarded-Uri` с фактическим запросом URI перед пересылкой запросов на OAuth2 Proxy; ограничьте прямой доступ клиента к OAuth2 Proxy, чтобы он мог быть достигнут только через доверенный обратный прокси; и/или удалить или узок `-skip-regex`. Для развертывания на основе nginx убедитесь, что `X-Forwarded-Uri` устанавливается nginx и не передается от клиента.