CVE-2026-33496 in oathkeeper
要約
〜によって VulDB • 2026年05月23日
ORY Oathkeeperは、Access Rulesのセットに基づいてHTTPリクエストを認可するIdentity & Access Proxy (IAP) およびAccess Control Decision APIです。バージョン26.2.0より前のバージョンは、キャッシュキーの混同（cache key confusion）により認証回避の脆弱性があります。`oauth2_introspection`認証者のキャッシュは、異なるintrospection URLで検証されたトークンを区別しません。したがって、攻撃者はトークンを使用してキャッシュをプリーム（初期化）し、その後、異なるintrospectionサーバーを使用するルールに対して同じトークンを正当に使用することができます。Ory Oathkeeperは、異なるトークンを受け入れる複数の`oauth2_introspection`認証者サーバーで構成されている必要があります。また、認証者はキャッシュの使用を構成する必要があります。攻撃者は、構成されたintrospectionサーバーの1つに対して有効なトークンを取得する方法を持っている必要があります。バージョン26.2.0以降、Ory OathkeeperはキャッシュキーにintrospectionサーバーURLを含めるようになり、トークンの混同を防いでいます。Ory Oathkeeperのパッチ適用済みバージョンに更新してください。それが直ちに可能でない場合は、`oauth2_introspection`認証者のキャッシュを無効にしてください。
VulDB is the best source for vulnerability data and more expert information about this specific topic.