CVE-2026-44087: Apache APISIX: falha de spoofing de cabeçalhos de identidade no plugin openid-connect

Visão geral

O registro descreve uma falha de verificação insuficiente da autenticidade de dados (CWE-345) no plugin openid-connect do Apache APISIX com a configuração padrão. A superfície de ataque permite falsificar cabeçalhos de identidade, o que pode levar a acesso não autorizado a recursos protegidos. O aviso do fornecedor está disponível na lista de discussão da Apache e também é publicado na oss-security.

Impacto

O registro afirma que um atacante pode obter acesso não autorizado a recursos protegidos.
A NVD atribui pontuação base CVSS 3.1 de 9.1 (crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, indicando alcance pela rede, baixa complexidade, nenhum privilégio ou interação do usuário exigidos e alto impacto na confidencialidade e na integridade.
O CNA (security@apache.org) informa pontuação CVSS 4.0 de 5.3.

Produtos e versões afetados

Produto: Apache APISIX.
A faixa afetada no registro está escrita como "≥ 2.3 and < 3.17.0", e a descrição indica que a falha afeta as versões de 2.3 até 3.16.0.
A descrição recomenda a atualização para a versão 3.17.0, que corrige o problema.
A lista de correções do registro está vazia; a versão corrigida vem apenas do texto da descrição.

Status de exploração

O registro indica que a vulnerabilidade não está listada no catálogo KEV da CISA.
Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
O registro não traz pontuação EPSS.

Correção e mitigação

Atualize o Apache APISIX para a versão 3.17.0 ou superior, conforme recomendado na descrição.
Enquanto a atualização não for aplicada, verifique se o plugin openid-connect está habilitado em rotas que protegem recursos sensíveis e confirme como os cabeçalhos de identidade são definidos, sobrescritos ou removidos no gateway antes de chegarem aos serviços de destino.
Reduza a exposição de rotas protegidas a redes não confiáveis, quando operacionalmente viável.

Orientações de detecção

Revise os logs de acesso do gateway e dos serviços de destino em busca de requisições a rotas protegidas que carreguem cabeçalhos de identidade não produzidos pelo fluxo de autenticação esperado.
Correlacione acessos bem-sucedidos a recursos protegidos com eventos de autenticação para identificar requisições sem sessão autenticada correspondente.
Trate acessos inexplicáveis a recursos sensíveis como possível incidente e siga o processo interno de resposta.

Limitações das informações disponíveis

O registro não identifica os nomes específicos de cabeçalhos, as condições de configuração do plugin nem as características das requisições envolvidas.
A lista de correções do registro está vazia; a versão corrigida vem da descrição.
O título do registro é nulo; os títulos desta análise foram derivados da descrição e do CWE.
O conteúdo do aviso do fornecedor além da descrição do registro não foi consultado nesta análise.
O registro não fornece dados EPSS ou SSVC.

Perguntas frequentes

Qual é o problema central do CVE-2026-44087?

O registro descreve uma verificação insuficiente da autenticidade de dados (CWE-345) no plugin openid-connect do Apache APISIX com a configuração padrão, o que permite falsificar cabeçalhos de identidade.

Quais versões do Apache APISIX são afetadas?

A descrição indica que as versões de 2.3 até 3.16.0 são afetadas, e a faixa afetada no registro vai de 2.3 até antes de 3.17.0.

Qual é a correção recomendada?

A descrição recomenda atualizar para a versão 3.17.0, que corrige o problema. A lista de correções do registro está vazia, então essa informação vem do texto da descrição.

Há exploração ativa conhecida desta vulnerabilidade?

O registro indica que ela não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.