Inyección de ruta HTTP de la API de Datos del servidor OPA de Rego en github.com/open-policy-agent/opa

Un atacante que explote esta vulnerabilidad puede ejecutar comandos arbitrarios en el servidor OPA. Esto podría resultar en la toma de control completa del sistema, robo de datos confidenciales, o la interrupción del servicio. La inyección de ruta permite a un atacante manipular la ejecución de Rego, el lenguaje de políticas utilizado por OPA, para ejecutar comandos del sistema operativo subyacente. El impacto es significativo, especialmente en entornos donde OPA se utiliza para controlar el acceso a recursos críticos o para aplicar políticas de seguridad.

Organizations heavily reliant on OPA for policy enforcement, particularly those using it to secure cloud infrastructure, Kubernetes clusters, or microservices architectures, are at significant risk. Environments where the OPA Data API is exposed to untrusted networks are especially vulnerable.

• go / server: Monitor OPA logs for unusual Rego query patterns or errors related to Rego parsing. Look for requests containing suspicious characters or keywords commonly used in Rego code.

journalctl -u opa -f | grep -i "error parsing rego" 

• generic web: Use curl to test the Data API endpoint with various Rego queries, observing the responses for unexpected behavior or errors.

curl -X POST -d '{\"query\": "// malicious rego code"}' http://<opa_server>/data/query

1. 2025-05-05Disclosure

   disclosure

1. Reservado2025-04-24
2. Publicada2025-05-05
3. Modificada2026-02-04
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar el servidor OPA a la versión 1.4.0 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Estas pueden incluir la validación estricta de todas las entradas de usuario, el uso de un firewall de aplicaciones web (WAF) para bloquear solicitudes maliciosas, y la restricción de los permisos del usuario OPA al mínimo necesario. Después de la actualización, confirme la corrección revisando los registros del servidor OPA en busca de intentos de inyección de ruta.