CVE-2026-25538
Təsvir
Devtron, Kubernetes üçün açıq mənbəli alət inteqrasiya platformasıdır. Versiya 2.0.0 və daha əvvəlki versiyalarda, Devtron-un Attributes API interfeysində zəiflik mövcuddur ki, bu da hər hansı autentifikasiya olunmuş istifadəçiyə (o cümlədən aşağı imtiyazlı CI/CD Developerlərə) /orchestrator/attributes?key=apiTokenSecret son nöqtəsinə müraciət etməklə qlobal API Token imzalama açarını əldə etməyə imkan verir. Açarı əldə etdikdən sonra hücumçular oflayn şəkildə istənilən istifadəçi kimlikləri üçün saxta JWT tokenləri yarada bilər və bununla da Devtron platforması üzərində tam nəzarət qazanaraq altda yerləşən Kubernetes klasterinə lateral hərəkət edə bilərlər. Bu problem d2b0d26 commit-i vasitəsilə aradan qaldırılmışdır.
Necə düzəltmək olar
- devtron devtron2.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| devtron devtron | v < 2.0.0 | 2.0.0 |
| github.com/devtron-labs/devtronGo | v ≤ 2.0.0, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.