CVE-2026-65838 in Skipper
要約
〜によって VulDB • 2026年09月15日
Skipperは、サービス合成のためのHTTPルーティングおよびリバースプロキシです。バージョン0.27.35以前では、filters/openpolicyagent/openpolicyagent.go内のopaAuthorizeRequestWithBodyフィルタにより、Content-Lengthが過大に設定されたリクエストを拒否するRegoポリシーを回避できる可能性があります。これは、ExtractHttpBodyOptionally関数がOPAに対して空のparsed_bodyを提供しつつ、完全なリクエストボディを上流へ転送することに起因します。この不完全な修正はCVE-2026-50197に関連し、リクエストボディの内容を検証するデプロイメントにおいて、-open-policy-agent-max-request-body-size（デフォルト値: 1 MB）を超える場合に影響を与えます。input.attributes.request.http.truncated_bodyを拒否しないポリシーロジックは、開放状態となり禁止されたペイロードが保護対象サービスに到達することを許可してしまう可能性があります。一方、小さなボディおよび以前修正済みのチャンク化されたボディのケースは正常に評価されます。この問題はバージョン0.27.35で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.