CVE-2026-103090

Google OSS Agent Mesh (SAM) versiyaları 0.1.0-alpha.1-dən 0.1.0-alpha.8-ə qədər olan nəhənglərdə, idarəetmə müstəvisinin qeydiyyat statusu operatorunda (internal/controlplane/server.go faylında GET /enroll/status ünvanındakı HandleEnrollStatus funksiyasında) Kritik Funksiya üçün Autentifikasiyanın Olmaması (CWE-306) və Kifayət Qədər Qorunmayan Etibarlılıq Məlumatları (CWE-522) boşluqları mövcuddur. Bu, autentifikasiya olunmamış uzaq hücumçunun autentifikasiya tələb etməyən GET /info son nöqtəsindən əldə edilə bilən peer_id parametrini təqdim etməklə, təsdiqlənmiş bootstrap-qeydiyyatlı peer-in imzalanmış Biscuit şəxsiyyət tokenini əldə etməsinə imkan verir. POST /enroll ünvanındakı əlaqəli bir çatışmazlıq hər hansı bootstrap-token sahibinə digər peer-in etibarlılıq məlumatlarını yenidən əldə etməyə imkan verirdi. Hücumçu açıqlanan Biscuit tokenini /policies ünvanında mesh avtorizasiya siyasətlərini oxumaq və /routers/lease ünvanında elan edilmiş router multiaddr-lərini overwrite etmək üçün bearer etibarlılığı kimi təkrar istifadə edə bilər. İstifadəçilər 0.1.0-alpha.9 və ya daha yeni versiyaya yüksəltmə etməlidirlər; bu versiya etibarlılıq məlumatlarını təqdim edən son nöqtələrdə qeydiyyat gizli açarının sahibliyinin kriptoqrafik sübutunu tələb edir, sürət məhdudiyyətini (rate limiting) tətbiq edir və router lease ünvanlarını yoxlayır.