7.5 Élevée

CVE-2024-10295 Gateway: apicast basic auth bypass via malformed base64 headerssending non-base64 'basic' auth with special characters causes apicast to incorrectly authenticate a request

Description

A flaw was found in Gateway. Sending a non-base64 'basic' auth with special characters can cause APICast to incorrectly authenticate a request. A malformed basic authentication header containing special characters bypasses authentication and allows unauthorized access to the backend. This issue can occur due to a failure in the base64 decoding process, which causes APICast to skip the rest of the authentication checks and proceed with routing the request upstream.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Aucun
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Red Hat 3scale API Management Platform 2	Versions non publiées

Références

access.redhat.com access.redhat.com
RHBZ#2321258 bugzilla.redhat.com

Chronologie

Publiée 24 octobre 2024
Dernière modification 4 novembre 2026

Les 65 CVE de Red Hat 3scale API Management Platform 2 →

CVE-2026-92925 Redis: redis: out-of-bounds read via crafted cluster bus packets 7.1 Élevée CVE-2026-54297 Faraday is an HTTP client library abstraction layer that provides a common interface over many adapters 7.5 Élevée CVE-2026-12143 form-data is a library for creating readable multipart/form-data streams 8.7 Élevée CVE-2026-44486 Axios is a promise based HTTP client for the browser and Node.js 7.5 Élevée

Suivre cette CVE