CVE-2023-30845 in ESPv2
Tóm tắt
Bởi VulDB • 10/05/2026
ESPv2 là một proxy dịch vụ cung cấp các khả năng quản lý API bằng cách sử dụng Google Service Infrastructure. ESPv2 từ phiên bản 2.20.0 đến 2.42.0 chứa một lỗ hổng bỏ qua xác thực (authentication bypass). Các khách hàng API có thể tạo giá trị tiêu đề `X-HTTP-Method-Override` độc hại để bỏ qua xác thực JWT trong các trường hợp cụ thể.
ESPv2 cho phép các yêu cầu độc hại bỏ qua xác thực nếu cả hai điều kiện sau đều đúng: Phương thức HTTP được yêu cầu **không** có trong định nghĩa dịch vụ API (tài liệu OpenAPI hoặc chú thích proto `google.api.http` của gRPC), và `X-HTTP-Method-Override` được chỉ định là một phương thức HTTP hợp lệ trong định nghĩa dịch vụ API. ESPv2 sẽ chuyển tiếp yêu cầu đến backend của bạn mà không kiểm tra JWT. Kẻ tấn công có thể tạo các yêu cầu với giá trị `X-HTTP-Method-Override` độc hại cho phép chúng bỏ qua việc cung cấp JWT. Việc hạn chế truy cập API bằng khóa API (API keys) hoạt động như dự định và không bị ảnh hưởng bởi lỗ hổng này.
Nâng cấp các triển khai lên phiên bản v2.43.0 trở lên để nhận bản vá. Bản phát hành này đảm bảo rằng xác thực JWT diễn ra, ngay cả khi người gọi chỉ định `x-http-method-override`. `x-http-method-override` vẫn được hỗ trợ bởi v2.43.0+. Các khách hàng API có thể tiếp tục gửi tiêu đề này đến ESPv2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.