OAuth2 Proxy - это обратный прокси, который обеспечивает аутентификацию с использованием провайдеров OAuth2. Версии 7.5.0 - 7.15.1 имеют за…

OAuth2 Proxy - это обратный прокси, который обеспечивает аутентификацию с использованием провайдеров OAuth2. Версии 7.5.0 - 7.15.1 имеют зависимую от конфигурации аутентификацию. Развертывание затрагивается, когда все из следующего верно: использование `skip_auth_routes` или унаследованного `skip_ath_regex`; использования шаблонов, которые могут быть расширены суффиксами, контролируемыми злоумышленником, такими как `^/foo/.*/bar$` вызывая потенциальное воздействие `/foo/secret`; и защищенных приложений вверх, которые интерпретируют `#` как делимит фрагмента или иным образом направляют запрос на защищенный базовый путь. В развертываниях, которые полагаются на эти настройки, неаутентифицированный злоумышленник может отправить созданный запрос, содержащий знак с числом на пути, включая безопасную для браузера форму `%23`, так что OAuth2 Proxy соответствует правилу публичного списка разрешений, в то время как бэкенд обслуживает защищенный ресурс. Не затрагиваются развертывания, которые не используют эти варианты пропуска или которые допускают только точные публичные пути с плотно обдутанными правилами метода и пути. В версии 7.15.2 было реализовано исправление, чтобы нормализовать пути запроса более консервативно, прежде чем сопоставить сопоставить фрагмент, поэтому фрагментированный контент не влияет на решения о разрешенных списках. Пользователи, которые не могут обновиться немедленно, могут уменьшить воздействие, ужесточив или удалив `skip_auth_routes` и `skip_auth_regex` правила, особенно шаблоны, которые используют широкие подстановочные знаки по сегментам пути. Рекомендуемые меры по смягчению последствий включают замену широких правил точными, заякоренными публичным путями и явными методами HTTP; отклонение запросов, путь которых содержит `%23` или `#` на уровне ingress, load balanceer или WAF; и/или избегание размещения чувствительных путей применения за широкими `skip_auth_rotes` правилами.