A2A Java SDK: Dane uwierzytelniające powiadomień push zapisywane jawnym tekstem w logach przy błędzie parsowania protobuf

Wpływ

Tokeny bearer powiadomień push oraz poświadczenia uwierzytelniające przesyłane przez klientów są zapisywane w plikach dziennika serwera w postaci jawnego tekstu. Każdy operator, system agregacji logów lub atakujący posiadający dostęp do dzienników może odczytać te poufne dane i wykorzystać je do uwierzytelnienia się w punktach końcowych powiadomień push klienta, potencjalnie przesyłając sfałszowane aktualizacje statusu zadań.

Gdzie

transport/rest/src/main/java/org/a2aproject/sdk/transport/rest/handler/RestHandler.java:676 w parseRequestBody

Szczegóły

Metoda parseRequestBody rejestruje całą treść żądania JSON na poziomie SEVERE, gdy JsonFormat.parser().merge() wyrzuca InvalidProtocolBufferException. Metoda ta jest wywoływana z createTaskPushNotificationConfiguration (linia 377), gdzie treść zawiera dostarczone przez klienta tokeny bearer powiadomień push (pole token) oraz poświadczenia uwierzytelniające (pole authentication.credentials). Te poufne dane trafiają w całości do logów serwera.

Scenariusz ataku

Klient tworzy konfigurację powiadomień push, wysyłając żądanie POST pod adres /v1/tenants/{tenant}/tasks/{taskId}/pushNotificationConfigs z treścią zawierającą {"url": "https://client.example.com/webhook", "token": "secret-bearer-token", "authentication": {"scheme": "Bearer", "credentials": "oauth-access-token"}, "extraField": "value"}. Dodatkowe pole powoduje, że JsonFormat.parser().merge() zgłasza InvalidProtocolBufferException. Cała treść żądania, w tym secret-bearer-token oraz oauth-access-token, zostaje zarejestrowana na poziomie SEVERE. Atakujący posiadający dostęp do logów przejmuje poświadczenia w postaci jawnego tekstu.

Warunki wstępne

• Atakujący musi mieć dostęp do plików dziennika serwera (scentralizowane logowanie, agregacja logów, współdzielona infrastruktura lub dostęp wewnętrzny).
• Funkcja powiadomień push musi być włączona.
• Treść żądania musi spowodować błąd deserializacji protobuf, pozostając poprawnym formatem JSON (nieznane pola przy ścisłym parsowaniu, niezgodności schematów).

Rozwiązanie

Nie należy rejestrować nieprzetworzonej treści żądania. Należy logować wyłącznie oczyszczone podsumowanie — długość treści oraz typ zawartości, a nie samą treść. Wywołanie logowania powinno zostać zastąpione czymś na wzór: log.log(Level.SEVERE, "Error parsing JSON request body (length={0})", body != null ? body.length() : 0).

Weryfikacja

Potwierdzone przez weryfikatory lens 3/3.