CVE-2026-86043
Skipper: обход body-authz в OPA: митигация truncated_body срабатывает fail-open при chunked/HTTP-2 (неполное исправление CVE-2026-50197)
- Опубликовано
- 16 сент. 2026 г.
- Обновлено
- 16 сент. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 7 сент. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:NНизкий · следующие 30 дней
- Процентиль
- 41,4 %
- Дата модели
- 21 сент. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Skipper — это HTTP-маршрутизатор и обратный прокси для композиции сервисов. До версии 0.27.37 фильтр opaAuthorizeRequestWithBody может авторизовать запрос с превышением размера после того, как Skipper усекает тело, передаваемое Open Policy Agent, поскольку сигнал input.truncated_body выводится из Content-Length, а не из фактического результата чтения. В filters/openpolicyagent/openpolicyagent.go функция ExtractHttpBodyOptionally усекает тела до maxBodyBytes, тогда как filters/openpolicyagent/internal/envoy/skipperadapter.go копирует заголовки запроса, не добавляя значение Content-Length, отражающее усечение. Для HTTP/1.1-запроса с Transfer-Encoding: chunked или HTTP/2-запроса без Content-Length политика, проверяющая тело и следующая предыдущей мере защиты и разрешающая input.truncated_body равным false, может оценить только усечённый префикс, разрешить запрос, а затем передать полное тело с превышением размера защищённому вышестоящему серверу. Эта остаточная проблема отличается от CVE-2026-50197. Данная проблема исправлена в версии 0.27.37.
Источники
1- security-researchИсследования
PoC и разборы для CVE, о которых я сообщал (скоординированное раскрытие; только опубликованные и исправленные)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.