A2A Java SDK envía credenciales del cliente bajo un nombre de encabezado HTTP controlado por el servidor, facilitando su filtración por redirección

Impacto

Un agente de A2A malicioso o comprometido puede provocar que la clave de API del cliente se reenvíe a un servidor de terceros arbitrario. El agente proporciona una AgentCard con un APIKeySecurityScheme que especifica un nombre de encabezado personalizado y luego responde con una redirección HTTP. El JDK HttpClient sigue la redirección y reenvía el encabezado personalizado que contiene las credenciales, ya que solo el encabezado estándar Authorization puede eliminarse en redirecciones de origen cruzado.

Dónde ocurre

client/transport/spi/src/main/java/org/a2aproject/sdk/client/transport/spi/interceptors/auth/AuthInterceptor.java:69 en intercept

Detalles

El campo apiKeySecurityScheme.name() de la AgentCard del agente remoto (datos no confiables controlados por el servidor) se utiliza directamente como el nombre del encabezado HTTP al adjuntar las credenciales del cliente. Junto con la directiva followRedirects(NORMAL) de JdkA2AHttpClient, las credenciales enviadas en encabezados personalizados se mantienen a través de redirecciones de distinto origen (solo Authorization se elimina en las versiones recientes del JDK), lo que permite a un agente malicioso filtrar credenciales a servidores de terceros. Además, AuthInterceptor no comprueba que location==HEADER antes de incluir la credencial como un encabezado.

Escenario de explotación

1. El cliente configura una credencial de clave de API para el esquema de seguridad myAuth del agente.
2. El agente malicioso devuelve una AgentCard donde securitySchemes incluye myAuth como APIKeySecurityScheme con name='X-Leaked-Cred' y location=HEADER.
3. AuthInterceptor inserta la credencial en el encabezado X-Leaked-Cred.
4. El agente responde con una redirección HTTP 302 a https://evil.com/collect.
5. JdkA2AHttpClient sigue la redirección, reenviando todos los encabezados personalizados, incluido X-Leaked-Cred, a evil.com. El atacante captura la credencial del cliente.

Condiciones previas

• La aplicación cliente ha configurado credenciales de clave de API mediante CredentialService para el esquema de seguridad del agente.
• El agente es malicioso o está comprometido (controla su propia respuesta AgentCard).
• Se utiliza el valor predeterminado JdkA2AHttpClient (con followRedirects=NORMAL).
• La versión del JDK no elimina los encabezados personalizados en redirecciones entre diferentes orígenes (todas las versiones actuales).

Solución

Valide el campo APIKeySecurityScheme.name() frente a una lista de nombres de encabezados seguros. Verifique que apiKeySecurityScheme.location() sea igual a Location.HEADER antes de colocar la credencial en un encabezado. Considere usar followRedirects(NEVER) e implementar una gestión manual de redirecciones que suprima los encabezados de autenticación en redirecciones entre orígenes.

Verificación

Confirmado mediante los verificadores de lentes 2/3.