Google Extensible Service Proxy (ESP) is a scalable proxy provided by the Google Cloud Platform (GCP) used to provide API management features based on an OpenAPI or gRPC API backend. ESP versions starting 2.20.0 and before 2.43.0 suffer from an authentication bypass vulnerability. By crafting a specific HTTP request using the `X-HTTP-Method-Override` header, a remote and unauthenticated attacker can leverage this vulnerability to access some of the API backend endpoints delivered by the ESP proxy which should require authentication.

Google Extensible Service Proxy (ESP) 是由 Google Cloud Platform (GCP) 提供的可扩展代理，用于基于 OpenAPI 或 gRPC API 后端提供 API 管理功能。2.20.0 至 2.43.0 版的 ESP 受到身份验证绕过漏洞的影响。通过使用 `X-HTTP-Method-Override` 标头构建特定的 HTTP 请求，未经身份验证的远程攻击者可利用此漏洞，访问一些由 ESP 代理提供的、本应需要身份验证的 API 后端端点。

Google Extensible Service Proxy (ESP) 是由 Google Cloud Platform (GCP) 提供的可擴充 Proxy 伺服器，用來提供以 OpenAPI 或 gRPC API 後端為基礎的 API 管理功能。ESP 2.20.0 至 2.43.0 版本受到驗證繞過弱點影響。未經驗證的遠端攻擊者可藉由特製使用 `X-HTTP-Method-Override` 標頭的 HTTP 要求，利用此弱點來存取應需要驗證的 ESP Proxy 傳送的某些 API 後端端點。

Google Extensible Service Proxy (ESP) は、Google Cloud Platform (GCP) が提供するスケーラブルなプロキシで、OpenAPI または gRPC API バックエンドに基づいて API 管理機能を提供するために使用されます。2.20.0 から 2.43.0 までのバージョンの ESP は、認証バイパスの脆弱性の影響を受けます。「X-HTTP-Method-Override」ヘッダーを使用して特定の HTTP リクエストを細工することで、リモートの認証されていない攻撃者がこの脆弱性を利用して、認証を必要とする ESP プロキシによって提供される API バックエンドエンドポイントの一部にアクセスする可能性があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
114169	Google Extensible Service Proxy 2.20.0 < 2.43.0 Authentication Bypass	Web App Scanning	Component Vulnerability	2024/2/2	2024/2/2	critical
114169	Google Extensible Service Proxy 2.20.0 < 2.43.0 身份验证绕过	Web App Scanning	Component Vulnerability	2024/2/2	2024/2/2	critical
114169	Google Extensible Service Proxy 2.20.0 < 2.43.0 驗證繞過	Web App Scanning	Component Vulnerability	2024/2/2	2024/2/2	critical
114169	Google Extensible Service Proxy 2.20.0 < 2.43.0 の認証バイパス	Web App Scanning	Component Vulnerability	2024/2/2	2024/2/2	critical

検出

プラグインの検索

critical

critical

critical

critical