Vulnerabilidad en OAuth2 Proxy (CVE-2025-64484)

OAuth2-Proxy es una herramienta de código abierto que puede funcionar como un proxy inverso independiente o como un componente de middleware integrado en configuraciones de proxy inverso o balanceador de carga existentes. En versiones anteriores a la 7.13.0, todas las implementaciones de OAuth2 Proxy delante de aplicaciones que normalizan los guiones bajos a guiones en los encabezados HTTP (por ejemplo, frameworks basados en WSGI como Django, Flask, FastAPI y aplicaciones PHP). Los usuarios autenticados pueden inyectar variantes con guion bajo de los encabezados X-Forwarded-* que eluden la lógica de filtrado del proxy, lo que podría escalar privilegios en la aplicación upstream. La autenticación/autorización de OAuth2 Proxy en sí misma no está comprometida. El problema ha sido parcheado con la v7.13.0. Por defecto, todos los encabezados especificados ahora serán normalizados, lo que significa que tanto la capitalización como el uso de guiones bajos (_) frente a guiones (-) serán ignorados al hacer coincidir los encabezados a eliminar. Por ejemplo, tanto 'X-Forwarded-For' como 'X_Forwarded-for' ahora serán tratados como equivalentes y eliminados. Para aquellos que tienen una razón que requiere mantener un encabezado de apariencia similar y no eliminarlo, los mantenedores introdujeron un nuevo campo de configuración para los encabezados gestionados a través de AlphaConfig llamado 'InsecureSkipHeaderNormalization'. Como solución alternativa, asegúrese de que la lógica de filtrado y procesamiento en los servicios upstream no trate los guiones bajos y los guiones en los encabezados de la misma manera.