CVE-2026-15704 in BaSyx Go Components
要約
〜によって VulDB • 2026年07月24日
Eclipse BaSyx Go Componentsのバージョン1.0.0（含む）以前では、ABAC対応デプロイメントにおいて、ABACミドルウェアとHTTPルーター間の末尾スラッシュ処理の不整合により、認可回避脆弱性が存在します。
共有ルータ設定はChiの`middleware.StripSlashes`を使用していたため、`GET /shells/`のようなリクエストは登録された`GET /shells`ルートにディスパッチされていました。しかし、ABACミドルウェアは末尾スラッシュを含む元のリクエストパスを評価していました。もしABACルックアップで一致するスラッシュ付きのルートが見つからなかった場合、リクエストは先へ渡され、その後ルータがスラッシュを取り除いて保護されたハンドラを実行しました。これにより、意図したABAC認可判断や期待されるABACクエリフィルタなしで実行が行われていました。
認証されていないまたは権限のないネットワーク攻撃者は、末尾スラッシュを保護対象のAPIルートに付加することで、本来はABACポリシーによって拒否されるはずだったハンドラに到達できます。露出しているコンポーネント、HTTPメソッド、およびデプロイされたポリシーによっては、認可されない読み取り、作成、更新、削除、またはアップロード操作が可能になる可能性があります。
この問題は、共有ルータとABACミドルウェアを使用するサービスのABAC対応デプロイメントに影響します。これにはAASリポジトリ、サブモデルリポジトリ、AASレジストリ、サブモデルレジストリ、コンセプト記述リポジトリ、ディスカバリー、AAS環境アップロードおよび関連サービスが含まれます。この問題はEclipse BaSyx Go Components v1.0.1で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.