- Yama var
- Son 7 gün
- CWE-20
- CWE-116
- CWE-290
CVE-2026-57210
Heimdall'da başlıklardan alınan istemci IP adreslerinin doğrulanmaması nedeniyle IP sahteciliği
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Heimdall, bulut yerel bir Kimlik Farkında Ters Vekil (Identity Aware Proxy) ve Erişim Kontrolü Karar hizmetidir. 0.17.17 sürümünden önce, trusted_proxies seçeneği yapılandırıldığında Heimdall, istemci IP adreslerini Forwarded başlığındaki (for= parametresi) ve X-Forwarded-For başlığından çıkarır ve bunları kural işlem hattına Request.ClientIPAddresses olarak sunar. Ancak çıkarılan değerlerin sözdizimsel olarak geçerli IP adresleri olup olmadığı doğrulanmamaktadır. Rastgele dizgeler, hatalı biçimlendirilmiş IP değişmezleri ile RFC 7239 kapsamındaki bilinmeyen (unknown) değerler ve gizlenmiş (obfuscated) tanımlayıcılar, ek bir kontrol yapılmadan kabul edilmektedir. Ayrıca Forwarded başlığı ayrıştırıcısı, RFC 7239 tırnaklı dizgeleri (quoted strings) hesaba katmadan , ve ; karakterlerine göre bölme yapmaktadır. Bu durum, tek bir tırnaklı değerin birden çok girdi olarak ayrıştırılmasına yol açabilmekte; sonuçta sondaki tırnak karakterleri de dahil olmak üzere parçalar bağımsız adresler olarak değerlendirilmektedir. Bu sorun 0.17.17 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Heimdall is a cloud native Identity Aware Proxy and Access Control Decision service. Prior to version 0.17.17, when the trusted_proxies option is configured, heimdall extracts client IP addresses from the Forwarded (for= parameter) and X-Forwarded-For headers and exposes them as Request.ClientIPAddresses to the rule pipeline. However, extracted values are not validated to be syntactically valid IP addresses. Arbitrary strings, malformed IP literals, and RFC 7239 unknown values and obfuscated identifiers are accepted without further checks. In addition, the Forwarded header parser splits on , and ; without accounting for RFC 7239 quoted strings, which can cause a single quoted value to be parsed as multiple entries, with fragments — including trailing quote characters — treated as independent addresses. This issue has been patched in version 0.17.17.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| dadrus heimdall | < 0.17.17 | 0.17.17 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.