CVE-2023-30845 in ESPv2
Zusammenfassung
von VulDB • 15.05.2026
ESPv2 ist ein Service-Proxy, der API-Management-Funktionen unter Verwendung der Google Service Infrastructure bereitstellt. ESPv2 in den Versionen 2.20.0 bis 2.42.0 enthält eine Schwachstelle zur Umgehung der Authentifizierung. API-Clients können einen böswilligen Wert für den Header `X-HTTP-Method-Override` erstellen, um in bestimmten Fällen die JWT-Authentifizierung zu umgehen.
ESPv2 ermöglicht es, bösartige Anfragen an der Authentifizierung vorbeizulassen, wenn beide folgenden Bedingungen erfüllt sind: Die angeforderte HTTP-Methode ist **nicht** in der API-Service-Definition (OpenAPI-Spezifikation oder gRPC `google.api.http`-Proto-Annotationen) enthalten, und der angegebene `X-HTTP-Method-Override` ist eine gültige HTTP-Methode in der API-Service-Definition. ESPv2 leitet die Anfrage an das Backend weiter, ohne die JWT zu überprüfen. Angreifer können Anfragen mit einem böswilligen `X-HTTP-Method-Override`-Wert erstellen, die es ihnen ermöglichen, die Angabe von JWTs zu umgehen. Die Einschränkung des API-Zugriffs über API-Schlüssel funktioniert wie beabsichtigt und ist von dieser Schwachstelle nicht betroffen.
Führen Sie ein Upgrade der Bereitstellungen auf Version v2.43.0 oder höher durch, um einen Patch zu erhalten. Diese Version stellt sicher, dass die JWT-Authentifizierung durchgeführt wird, auch wenn der Aufrufer `x-http-method-override` angibt. `x-http-method-override` wird weiterhin von v2.43.0+ unterstützt. API-Clients können diesen Header weiterhin an ESPv2 senden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.