CVE-2026-76835: Bypass de autenticação no OAuth2 Proxy via X-Forwarded-Uri forjado
As versões 7.15.2 até 7.15.4 do OAuth2 Proxy podem permitir que requisições ignorem a autenticação em caminhos protegidos quando o conjunto padrão de proxies confiáveis está em uso. Segundo o registro, o problema decorre da confiança em um cabeçalho X-Forwarded-Uri enviado pelo cliente, o que faz a verificação de lista de exceções usar um caminho forjado. O registro não informa versão corrigida e não há exploração confirmada no catálogo KEV da CISA.
Visão geral
O OAuth2 Proxy está sujeito a um bypass de autenticação classificado como CWE-290 (Authentication Bypass by Spoofing). Segundo o registro, a decisão de pular a autenticação pode ser tomada com base em um valor X-Forwarded-Uri enviado pelo cliente quando a configuração padrão de proxies confiáveis se aplica. O registro indica a VulnCheck como CNA e referencia o aviso do fornecedor GHSA-7x63-xv5r-3p2x.
Impacto
- De acordo com a descrição, um cliente remoto não autenticado pode alcançar caminhos upstream que deveriam exigir autenticação.
- O registro classifica a falha como crítica: pontuação CVSS 3.1 de 9.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, e pontuação CVSS 4.0 de 9.3 atribuída pela VulnCheck.
- O vetor CVSS 3.1 indica alto impacto em confidencialidade e integridade, sem impacto em disponibilidade.
Produtos e versões afetadas
- Produto: Oauth2-proxy Oauth2-proxy (OAuth2 Proxy).
- Intervalo: versões de 7.15.2 até 7.15.4, inclusive, conforme o registro.
- O registro não lista versão corrigida. Consulte o aviso do fornecedor para detalhes de correção.
- Segundo a descrição, a condição se aplica quando o modo de proxy reverso está habilitado sem trusted_proxy_ip configurado.
Status de exploração
- O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, portanto o KEV não confirma exploração ativa.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- O registro traz o valor SSVC de exploração poc e automatizável yes. A probabilidade EPSS é 0.00453, com percentil 0.37587, em 2026-10-13. Trata-se de estimativas e não de ataques observados.
Correção e mitigação
- Verifique o aviso do fornecedor e o repositório do projeto em busca de uma versão que corrija o problema. O registro não identifica versão corrigida.
- Enquanto a correção não for confirmada, revise se o modo de proxy reverso está habilitado e se trusted_proxy_ip está definido explicitamente com o endereço do seu proxy reverso real. Isso decorre do comportamento padrão descrito no registro.
- Restrinja o acesso de rede ao listener do OAuth2 Proxy, de modo que apenas o proxy reverso confiável consiga alcançá-lo.
- Revise as entradas skip_auth_routes e skip_auth_regex e mantenha-as o mais restritas possível, pois elas orientam a decisão afetada.
- Não utilize cabeçalhos encaminhados de origens não confiáveis como base para decisões de acesso.
Orientação para detecção
- Analise os logs do proxy reverso e da aplicação em busca de cabeçalhos X-Forwarded-Uri vindos de origens diferentes dos seus proxies conhecidos.
- Procure requisições a caminhos upstream protegidos atendidas sem sessão autenticada, sobretudo quando o URI encaminhado difere do caminho real da requisição.
- Compare o caminho avaliado pela camada de autenticação com o caminho recebido pelo serviço upstream para identificar divergências.
Limitações das informações disponíveis
- O registro não contém versão corrigida e a lista de correções está vazia. A ausência de correção no registro não significa que ela não exista.
- O source_status do registro é Deferred.
- O registro não descreve implantações além da configuração padrão de proxies confiáveis, nem ataques observados.
- Detalhes técnicos de reprodução foram omitidos de propósito.
Perguntas frequentes
Quais versões do OAuth2 Proxy são afetadas pelo CVE-2026-76835?
Segundo o registro, as versões de 7.15.2 até 7.15.4, inclusive, são afetadas. O registro não lista versão corrigida, portanto consulte o aviso do fornecedor para detalhes de correção.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O valor SSVC poc presente no registro é uma estimativa e não evidência de ataques.
Qual configuração torna o problema relevante?
Segundo a descrição, a condição se aplica quando o modo de proxy reverso está habilitado sem trusted_proxy_ip configurado, pois o conjunto confiável padrão passa a cobrir todos os endereços.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.