GHSA-C33X-VCV4-VG3G

Cedar: JSON template is in scope missing slot-id validation allows link panic and decision divergence

CVSS 3.1Low

N/A/ 10.0

Опубликовано

29 октября 2026 г.

Обновлено

29 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 4.11.1, 3.4.3

Обновите пакеты `cedar-policy` и `@cedar-policy/cedar-wasm` до версий 3.4.3 (для ветки 3.x) или 4.11.1 (для ветки 4.x).

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В Cedar парсер JSON-шаблонов политик не валидировал идентификаторы слотов в условиях `is in`. Это приводило к сбоям линковки шаблонов, аварийным остановкам (panic) и расхождению решений авторизации.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Уязвимость проявляется при обработке синтаксически некорректных шаблонов политик в формате JSON, содержащих условия `is in` в областях principal и resource scope constraints. Парсер позволял задавать недопустимые идентификаторы слотов (например, `?principal` внутри resource scope) и негласно подменял их внутреннее представление без отклонения некорректного шаблона.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Несоответствие между внешней JSON-структурой и внутренним состоянием движка вызывает panic при попытке связывания (linking) слотов либо приводит к decision divergence — принятию некорректных решений авторизации относительно исходных намерений разработчика политики.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——

>= 4.0.0➔Fix: 4.11.1

——

>= 3.0.0➔Fix: 3.4.3

——

>= 4.0.1➔Fix: 4.11.1

——

>= 3.2.0➔Fix: 3.4.3

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

github.comhttps://github.com/cedar-policy/cedar/security/advisories/GHSA-c33x-vcv4-vg3g
github.comhttps://github.com/cedar-policy/cedar

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости GHSA-C33X-VCV4-VG3G: Cedar: JSON template is in scope missing slot-id validation allows link panic and decision divergence. URL: https://cve.futuretools.ru/cve/GHSA-C33X-VCV4-VG3G

BibTeX формат (LaTeX)

@misc{cve_futuretools_ghsa_c33x_vcv4_vg3g,
  title = {{GHSA-C33X-VCV4-VG3G: Cedar: JSON template is in scope missing slot-id validation allows link panic and decision divergence}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-C33X-VCV4-VG3G}},
  note = {Оперативный инженерный анализ киберугроз}
}