PT-2026-37187 · Heimdal · Heimdal

Kakadus

·

Publicado

2026-04-25

·

Atualizado

2026-05-09

·

CVE-2026-42273

CVSS v4.0

7.8

Alta

VetorAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Nome do Software Vulnerável e Versões Afetadas Heimdall versões anteriores a 0.17.14
Descrição O Heimdall realiza a correspondência de host de maneira sensível a maiúsculas e minúsculas, o que conflita com a natureza insensível a maiúsculas e minúsculas dos nomes de host HTTP. Essa discrepância permite que um host de requisição que difira apenas na capitalização das letras falhe na correspondência de regras, potencialmente fazendo com que a requisição seja classificada de forma diferente da pretendida. Se o serviço estiver configurado com uma regra padrão permissiva — o que pode ocorrer se os padrões seguros forem desativados através das flags --insecure ou --insecure-skip-secure-default-rule-enforcement — isso pode levar a uma evasão das políticas de controle de acesso. Tal evasão pode resultar em acesso não autorizado a dados restritos, invocação de funcionalidades protegidas ou escalonamento de privilégios.
Recomendações Atualizar para a versão 0.17.14. Normalizar os hosts de requisição para letras minúsculas nas camadas anteriores ao Heimdall. Evitar a configuração de regras padrão permissivas e abster-se de usar as flags --insecure ou --insecure-skip-secure-default-rule-enforcement. Ao usar regex para correspondência de host, definir as expressões de maneira insensível a maiúsculas e minúsculas, como (?i)^admin.example.com$. Incluir o ID da regra esperada no JWT emitido pelo Heimdall e verificar esse valor no serviço do projeto consumidor.

Correção

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2026-42273
GHSA-72H4-MXFC-JX37

Produtos afetados

Heimdal