CVE-2025-46569 in opa
Riassunto
di VulDB • 16/06/2026
Open Policy Agent (OPA) è un motore di policy open source a scopo generale. Prima della versione 1.4.0, quando eseguito come server, OPA espone un'API HTTP Data per la lettura e la scrittura di documenti. La richiesta di un documento virtuale tramite l'API Data comporta la valutazione della policy, in cui viene costruita una query Rego contenente un singolo riferimento a un documento di dati a partire dal percorso richiesto. Tale query viene quindi utilizzata per la valutazione della policy. Un percorso di richiesta HTTP può essere costruito in modo da iniettare codice Rego nella query costruita. Il risultato della valutazione non può essere fatto restituire dati diversi da quelli generati dal percorso richiesto, ma tale percorso può essere manipolato e il codice Rego iniettato può essere costruito in modo da far sì che la query abbia esito positivo o negativo; ciò apre la strada ad attacchi di tipo oracle o, in circostanze appropriate, a risultati errati nelle decisioni di policy. Inoltre, il codice iniettato può essere costruito per essere computazionalmente oneroso, causando un attacco di Denial of Service (DoS). Questo problema è stato risolto nella versione 1.4.0. Una soluzione alternativa prevede di limitare l'accesso di rete alle API RESTful di OPA a `localhost` e/o a reti attendibili, a meno che non sia necessario per motivi di produzione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.