OpenFGA का BatchCheck भीतर-अनुरोध डिडुप्लिकेशन सूची-मान कैश-की टकराव के माध्यम से गलत प्राधिकरण निर्णय उत्पन्न करता है

OpenFGA में CVE-2026-34972 संदर्भ का उपयोग करने वाले BatchCheck ऑपरेशनों को प्रभावित करता है। विशेष रूप से, यदि एक ही BatchCheck ऑपरेशन के भीतर एक ही उपयोगकर्ता/ऑब्जेक्ट/रिलेशनशिप संयोजन के लिए कई जांच भेजी जाती हैं, और प्रत्येक जांच में एक अलग संदर्भ शामिल होता है, तो नीतियों का अनुचित प्रवर्तन हो सकता है। यह एक हमलावर को इच्छित पहुंच प्रतिबंधों को बायपास करने और उन संसाधनों तक पहुंचने की अनुमति दे सकता है जो आमतौर पर संरक्षित होते हैं। इस भेद्यता की गंभीरता को CVSS 5.0 के रूप में रेट किया गया है, जो एक मध्यम जोखिम दर्शाता है। भेद्यता तब प्रकट होती है जब सिस्टम प्रत्येक जांच में संदर्भ का सही मूल्यांकन नहीं करता है, जिसके परिणामस्वरूप गलत पहुंच निर्णय होता है।

Organizations heavily reliant on OpenFGA for access control and utilizing BatchCheck operations with context are most at risk. This includes applications with complex authorization rules and those that dynamically adjust user permissions based on contextual factors. Specifically, deployments using OpenFGA to manage access to sensitive data or critical infrastructure are particularly vulnerable.

• go / application: Examine OpenFGA logs for unusual BatchCheck requests with multiple checks for the same user/object/relation combination and differing contexts. • go / application: Monitor OpenFGA's internal metrics for anomalies in policy evaluation times or unexpected access grants. • generic web: If OpenFGA is exposed via an API, monitor API requests for patterns indicative of BatchCheck exploitation (multiple similar requests). • generic web: Review OpenFGA configuration files for any unusual settings related to context handling in BatchCheck operations.

1. 2026-04-07Disclosure

   disclosure

1. आरक्षित2026-03-31
2. प्रकाशित2026-04-07
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-04-14

इस भेद्यता का समाधान OpenFGA संस्करण 1.14.0 या उच्चतर में अपग्रेड करना है। इस संस्करण में फिक्स शामिल हैं जो संदर्भ के साथ BatchCheck ऑपरेशनों में अनुचित नीति प्रवर्तन के मुद्दे को संबोधित करते हैं। इस बीच, एक अस्थायी शमन उपाय के रूप में, एक ही उपयोगकर्ता/ऑब्जेक्ट/रिलेशनशिप संयोजन के लिए कई जांच के साथ BatchCheck का उपयोग करने से बचें, खासकर जब अलग-अलग संदर्भों का उपयोग किया जा रहा हो। यदि BatchCheck का उपयोग करना आवश्यक है, तो सुनिश्चित करें कि एक ही ऑपरेशन में सभी जांचों में एक ही संदर्भ है। असामान्य पहुंच पैटर्न के लिए OpenFGA लॉग की निगरानी संभावित शोषण का पता लगाने में भी मदद कर सकती है।