OpenNext Cloudflare: Cache-Interception kann Middleware-Schutz bei enkodierten Pfaden umgehen

Zusammenfassung

Wenn die Cache-Interception aktiviert ist, kann @opennextjs/cloudflare prozentkodierte Pfade während des Middleware-Matchings und der Cache-Suche unterschiedlich interpretieren.

Eine enkodierte Anfrage passt möglicherweise nicht zu den Kriterien der Autorisierungs-Middleware, wird jedoch anschließend in den Cache-Schlüssel einer geschützten Route dekodiert. Dadurch kann die zwischengespeicherte Antwort zurückgegeben werden, ohne dass die Middleware ausgeführt wird.

enableCacheInterception ist standardmäßig deaktiviert.

Auswirkungen

Ein entfernter, nicht authentifizierter Angreifer kann zwischengespeicherte Inhalte von Routen abrufen, die eigentlich durch Middleware geschützt sein sollten.

Eine Anwendung ist betroffen, wenn sie:

• enableCacheInterception explizit aktiviert;
• sich zur Zugriffskontrolle auf Middleware verlässt; und
• über eine passende zwischengespeicherte Route verfügt.

Details

Das Middleware-Matching verwendete bisher den enkodierten Pfadnamen der Anfrage, während die Cache-Interception den Pfadnamen vor der Auswahl eines Cache-Eintrags dekodierte.

Beispiel für eine Anwendung mit:

• Middleware-Matcher /admin/:path*;
• Middleware, die 401 Authentication required für /admin zurückgibt;
• einer statisch generierten, zwischengespeicherten Route /admin; und
• aktivierter Cache-Interception:

export default defineCloudflareConfig({
  incrementalCache: staticAssetsIncrementalCache,
  enableCacheInterception: true,
});

Ein Angreifer kann Folgendes anfordern:

GET /%61dmin

Der enkodierte Pfadname stimmt nicht mit /admin/:path* überein, weshalb die Autorisierungs-Middleware nicht aufgerufen wird. Die Cache-Interception dekodiert anschließend %61dmin zu admin und liefert unter Umständen die zwischengespeicherte /admin-Antwort zurück:

HTTP/1.1 200 OK
x-opennext-cache: HIT

Protected content

Fehlerhafte Pfade führten zu einer weiteren Inkonsistenz. Zum Beispiel:

GET /%61dmin/%ZZ

Die vorherige Implementierung dekodierte jedes Segment unabhängig voneinander. Sie dekodierte %61dmin zu admin, behielt jedoch das fehlerhafte Segment %ZZ bei, wodurch die Cache-Suche mit einem teilweise dekodierten Pfad fortgesetzt werden konnte.

Patches

Die Korrektur vereinheitlicht die Verarbeitung enkodierter Pfade beim Middleware-Matching sowie bei der Cache-Suche und weist fehlerhafte Pfade ab, anstatt sie teilweise zu dekodieren. Siehe Upstream-Fixes in opennextjs-aws#1199 und opennextjs-aws#1200..

Benutzer sollten auf @opennextjs/cloudflare@1.20.2 oder höher aktualisieren.