OpenNext Cloudflare: La interceptación de caché puede omitir la protección del middleware en rutas codificadas

Resumen

Cuando la interceptación de caché está habilitada, @opennextjs/cloudflare puede interpretar las rutas con codificación por porcentaje de forma diferente durante la coincidencia del middleware y la búsqueda en caché.

Una solicitud codificada puede no coincidir con el middleware de autorización y luego ser descodificada en la clave de caché de una ruta protegida. En consecuencia, la respuesta almacenada en caché puede devolverse sin ejecutar el middleware.

enableCacheInterception está deshabilitado de forma predeterminada.

Impacto

Un atacante remoto no autenticado puede recuperar contenido almacenado en caché de rutas destinadas a estar protegidas por middleware.

Una aplicación se ve afectada si:

• habilita explícitamente enableCacheInterception;
• depende del middleware para el control de acceso; y
• cuenta con una ruta coincidente almacenada en caché.

Detalles

Anteriormente, la coincidencia del middleware utilizaba el pathname codificado de la solicitud, mientras que la interceptación de caché descodificaba el pathname antes de seleccionar una entrada en la caché.

Por ejemplo, considere una aplicación con:

• matcher de middleware /admin/:path*;
• middleware que devuelve 401 Authentication required para /admin;
• una ruta estática generada y almacenada en caché /admin; y
• interceptación de caché habilitada:

export default defineCloudflareConfig({
  incrementalCache: staticAssetsIncrementalCache,
  enableCacheInterception: true,
});

Un atacante puede solicitar:

GET /%61dmin

El pathname codificado no coincide con /admin/:path*, por lo que el middleware de autorización no se ejecuta. A continuación, la interceptación de caché descodifica %61dmin a admin y puede devolver la respuesta almacenada en caché de /admin:

HTTP/1.1 200 OK
x-opennext-cache: HIT

Protected content

Las rutas mal formadas expusieron una inconsistencia adicional. Por ejemplo:

GET /%61dmin/%ZZ

La implementación anterior descodificaba cada segmento de forma independiente. Descodificaba %61dmin a admin, pero retenía el segmento mal formado %ZZ, permitiendo que la búsqueda en caché continuara utilizando una ruta parcialmente descodificada.

Parches

La corrección unifica el tratamiento de rutas codificadas entre la coincidencia de middleware y la búsqueda en caché, y rechaza las rutas mal formadas en lugar de descodificarlas parcialmente. Consulte las correcciones originales en opennextjs-aws#1199 y opennextjs-aws#1200..

Se recomienda a los usuarios actualizar a @opennextjs/cloudflare@1.20.2 o superior.