CVE-2026-55772

Nome do Software Vulnerável e Versões Afetadas CedarJava versões anteriores a 2.3.6 CedarJava versões anteriores a 3.4.1 CedarJava versões anteriores a 4.9

Description O tratamento inadequado de entrada permite a confusão de tipos Record-to-Entity através da fronteira FFI (Foreign Function Interface) Java-Rust. O CedarJava envia solicitações de autorização para o avaliador cedar-policy em Rust como JSON, utilizando formas de objetos de chave única reservadas entity e extn para referências de entidade e valores de extensão. Como não há validação durante a serialização de um CedarMap, um agente que controle as chaves usadas para construir um CedarMap (como por meio de cabeçalhos de solicitação, metadados definidos pelo usuário ou tags de recurso) pode forçar o avaliador Rust a interpretar um registro como uma referência de entidade. Isso ocorre quando um serviço integrador constrói um CedarMap com chaves controladas pelo agente e uma política referencia esse valor em uma cláusula when/unless.

Recommendations Atualize para a versão 2.3.6. Atualize para a versão 3.4.1. Atualize para a versão 4.9. Valide se os dados controlados pelo usuário não contêm as chaves reservadas entity ou extn antes de construir objetos CedarMap. Habilite a validação de solicitação baseada em esquema para detectar incompatibilidades de tipo.