A2A Java SDK 推送凭据明文写入日志漏洞

GitHub 安全公告库发布公告称，A2A Java SDK 的 RestHandler.java 中 parseRequestBody 方法在 JsonFormat 解析抛出 InvalidProtocolBufferException 时，以 SEVERE 级别完整记录请求体，导致客户端提交的推送通知 bearer token 与 authentication.credentials 明文写入服务器日志。 公告列出的触发条件包括：推送通知功能已启用；请求体是合法 JSON 但 protobuf 反序列化失败（如严格解析下的未知字段、schema 不匹配）；攻击者需能访问服务器日志文件（集中式日志、日志聚合、共享基础设施或内部人员访问）。公告建议不要记录原始请求体。

AI 根据报道生成 · 2 天前更新

还没有足够的连续观测数据，暂不绘制趋势。