CVE-2026-86043
Skipper: bypass di body-authz in OPA: la mitigazione truncated_body fallisce in modalità aperta su chunked/HTTP-2 (fix incompleta CVE-2026-50197)
- Pubblicato
- 16 set 2026
- Aggiornato
- 16 set 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 7 set 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:NBasso · prossimi 30 giorni
- Percentile
- 41,4%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Skipper è un router HTTP e reverse proxy per la composizione di servizi. Prima della versione 0.27.37, il filtro opaAuthorizeRequestWithBody può autorizzare una richiesta di dimensioni eccessive dopo che Skipper tronca il corpo presentato a Open Policy Agent, poiché il segnale input.truncated_body deriva da Content-Length anziché dal risultato effettivo della lettura. In filters/openpolicyagent/openpolicyagent.go, ExtractHttpBodyOptionally tronca i corpi a maxBodyBytes, mentre filters/openpolicyagent/internal/envoy/skipperadapter.go copia le intestazioni della richiesta senza aggiungere un valore Content-Length che rifletta la troncatura. Per una richiesta HTTP/1.1 che utilizza Transfer-Encoding: chunked o una richiesta HTTP/2 senza Content-Length, una policy che ispeziona il corpo e che segue la mitigazione precedente e consente input.truncated_body uguale a false può valutare solo il prefisso troncato, consentire la richiesta e quindi inoltrare l'intero corpo di dimensioni eccessive all'upstream protetto. Questo problema residuo è distinto da CVE-2026-50197. Questo problema è risolto nella versione 0.27.37.
Fonti
1- security-researchRicerca
PoC e write-up per le CVE che ho segnalato (divulgazione coordinata; solo pubblicate e corrette)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.