OpenFGA hat einen Autorisierungs-Bypass durch zwischengespeicherte Schlüssel

CVE-2026-33729 in OpenFGA betrifft Versionen vor 1.13.1. Unter bestimmten Bedingungen können Modelle, die Bedingungen mit aktiviertem Cache verwenden, dazu führen, dass zwei verschiedene Prüfungsanfragen denselben Cache-Schlüssel erzeugen. Dies kann dazu führen, dass OpenFGA ein früheres zwischengespeichertes Ergebnis für eine andere Anfrage wiederverwendet, was zu einer falschen Autorisierung führen kann. Der Einfluss ist erheblich, wenn Ihre Autorisierungsmodelle von der Auswertung von Bedingungen abhängen und der Cache aktiviert ist, da dies unbefugten Zugriff auf Ressourcen ermöglichen oder legitimen Zugriff verweigern könnte. Der CVSS-Score wurde noch nicht ermittelt, aber die Möglichkeit einer falschen Autorisierung erfordert sofortige Aufmerksamkeit.

Organizations heavily reliant on OpenFGA for fine-grained access control, particularly those employing complex models with conditions and caching enabled, are at increased risk. This includes applications requiring dynamic authorization based on user attributes or contextual factors. Teams using older OpenFGA deployments are also more vulnerable.

• go / server:

ps aux | grep -i openfga

• go / server:

journalctl -u openfga --since "1 hour ago" | grep -i "cache key collision"

• generic web: Check OpenFGA server logs for errors related to cache key generation or unexpected authorization results. • generic web: Review OpenFGA model configurations to identify those utilizing conditions and caching.

1. 2026-03-27Disclosure

   disclosure

1. Reserviert2026-03-23
2. Veröffentlicht2026-03-27
3. Geändert2026-03-30
4. EPSS aktualisiert2026-04-03

Die Lösung für diese Schwachstelle besteht darin, auf Version 1.13.1 oder höher von OpenFGA zu aktualisieren. Diese Version enthält eine Korrektur, die verhindert, dass in Bedingungen doppelte Cache-Schlüssel generiert werden. Wenn Sie ein sofortiges Update nicht durchführen können, sollten Sie in der Zwischenzeit den Cache in Ihren Autorisierungsmodellen deaktivieren, obwohl dies die Leistung beeinträchtigen kann. Es ist entscheidend, Ihre Autorisierungsmodelle zu überprüfen, um diejenigen zu identifizieren, die von der Auswertung von Bedingungen abhängen, und die Aktualisierung oder Deaktivierung des Caches in diesen Modellen zu priorisieren. Überwachen Sie Ihre Autorisierungssysteme nach dem Update, um sicherzustellen, dass die Schwachstelle behoben wurde und das Systemverhalten wie erwartet ist.