Vulnerabilidad en cedar-java de cedar-policy (CVE-2026-55772)

CedarJava es una implementación Java de código abierto del lenguaje de políticas Cedar, utilizada para decisiones de autorización de grano fino. En versiones anteriores a la 2.3.6, 3.4.1 y 4.9.0, bajo ciertas circunstancias, un manejo inadecuado de la entrada podría permitir una confusión de tipo de Registro a Entidad a través del límite FFI de Java-Rust. CedarJava envía solicitudes de autorización al evaluador de políticas Cedar de Rust como JSON. El protocolo JSON reserva formas de objeto mágicas de clave única (__entity y __extn) para referencias de entidad y valores de extensión. Al serializar un CedarMap, no hay validación que impida el uso de estas claves reservadas. Si un servicio integrador construye un CedarMap a partir de datos clave/valor proporcionados por el llamador (como encabezados de solicitud, metadatos definidos por el usuario o etiquetas de recursos), un actor que controle esas claves podría hacer que el evaluador de Rust interprete un registro como una referencia de entidad. Este problema requiere que el servicio integrador construya un CedarMap donde un actor controle las claves, y una política debe hacer referencia a ese valor en una cláusula when/unless. Esta vulnerabilidad ha sido corregida en las versiones 2.3.6, 3.4.1 y 4.9.