CVE-2025-64484

Nome do Software Vulnerável e Versões Afetadas Versões do OAuth2-Proxy anteriores à 7.13.0

Descrição O OAuth2-Proxy está suscetível a um problema de header smuggling. Em implantações posicionadas antes de aplicações que normalizam sublinhados para hífens em cabeçalhos HTTP (como frameworks baseados em WSGI, tais como Django, Flask, FastAPI e aplicações PHP), usuários autenticados podem injetar variantes com sublinhado dos cabeçalhos X-Forwarded-*. Isso contorna a lógica de filtragem do proxy, potencialmente levando a escalonamento de privilégios na aplicação upstream. O próprio processo de autenticação/autorização do OAuth2-Proxy permanece seguro. Aproximadamente 8,2 mil alvos ativos estão potencialmente afetados. O problema ocorre porque o proxy falha ao normalizar nomes de cabeçalho contendo sublinhados ( ) em comparação com hífens (-). Isso permite que atacantes injetem cabeçalhos com variantes contendo sublinhados (por exemplo, X Forwarded For) que contornam a filtragem, já que a aplicação upstream normaliza sublinhados para hífens. Os Endpoints de API não estão diretamente vulneráveis, mas os cabeçalhos injetados podem impactar a forma como as requisições são processadas pela aplicação upstream. Os parâmetros vulneráveis são os cabeçalhos X-Forwarded-*, especificamente X Forwarded For, X Forwarded Proto, X Forwarded Host e outros.

Recomendações Atualize para a versão 7.13.0 ou posterior do OAuth2-Proxy.