Kakadus

**Nome do Software Vulnerável e Versões Afetadas** Heimdall versões anteriores a 0.17.14 **Descrição** O Heimdall realiza a correspondência de host de maneira sensível a maiúsculas e minúsculas, o que conflita com a natureza insensível a maiúsculas e minúsculas dos nomes de host HTTP. Essa discrepância permite que um host de requisição que difira apenas na capitalização das letras falhe na correspondência de regras, potencialmente fazendo com que a requisição seja classificada de forma diferente da pretendida. Se o serviço estiver configurado com uma regra padrão permissiva — o que pode ocorrer se os padrões seguros forem desativados através das flags `--insecure` ou `--insecure-skip-secure-default-rule-enforcement` — isso pode levar a uma evasão das políticas de controle de acesso. Tal evasão pode resultar em acesso não autorizado a dados restritos, invocação de funcionalidades protegidas ou escalonamento de privilégios. **Recomendações** Atualizar para a versão 0.17.14. Normalizar os hosts de requisição para letras minúsculas nas camadas anteriores ao Heimdall. Evitar a configuração de regras padrão permissivas e abster-se de usar as flags `--insecure` ou `--insecure-skip-secure-default-rule-enforcement`. Ao usar `regex` para correspondência de host, definir as expressões de maneira insensível a maiúsculas e minúsculas, como `(?i)^admin.example.com$`. Incluir o ID da regra esperada no JWT emitido pelo Heimdall e verificar esse valor no serviço do projeto consumidor.

**Name of the Vulnerable Software and Affected Versions** Heimdall versions 0.7.0-alpha through 0.17.10 **Description** Heimdall, a cloud native Identity Aware Proxy and Access Control Decision service, contains an issue where incorrect encoding of the query URL string can allow bypass of rules with non-wildcard path expressions when used in envoy gRPC decision API mode. Envoy splits the requested URL into parts and sends them individually to Heimdall. The `query` field is documented as always being empty, with the URL query included in the `path` field. The implementation uses the go URL library to reconstruct the URL, which automatically encodes special characters in the path. This results in parameters like `/mypath?foo=bar` being escaped to `/mypath%3Ffoo=bar`, causing rules matching `/mypath` to no longer match and be bypassed. This issue can only lead to unintended access if Heimdall is configured with an "allow all" default rule. The vulnerable component is the URL reconstruction process within the `request context.go` file. The API endpoint involved is the gRPC decision API. The vulnerable parameter is `Path`. **Recommendations** Update to Heimdall version 0.17.11 or later.