CVE-2026-27112
Təsvir
Kargo proqram təminatı artefaktlarının təşviqini idarə edir və avtomatlaşdırır. 1.7.0 versiyasından etibarən v1.7.8, v1.8.11 və v1.9.3 versiyalarından əvvəlki versiyalarda, həm Kargo-nun köhnə gRPC API, həm də yeni REST API-nin toplu resurs yaratma son nöqtələri çox sənədli YAML payload-larını qəbul edir. Xüsusi hazırlanmış payload-lar, hər iki son nöqtənin məntiqində mövcud olan bir xətadan istifadə edərək, API serverin öz icazələri vasitəsilə mövcud Layihənin alt namespace-nə ixtiyari resursların (yalnız müəyyən tiplərdə) yerləşdirilməsinə şərait yarada bilər ki, bu davranış nəzərdə tutulmamışdı. Kritik şəkildə, hücumçu bundan öz imtiyazlarını yüksəltmək üçün vektor kimi istifadə edə bilər ki, bu da daha sonra uzaqdan kodun icrasına və ya gizli məlumatların (secret) sızdırılmasına nail olmaq üçün istifadə edilə bilər. Sızdırılmış artefakt repozitoriya etibarnamələri, öz növbəsində, daha geniş hücumları həyata keçirmək üçün istifadə oluna bilər. Kargo idarəetmə panelinin alt Kubernetes klasterinin bəzi konfiqurasiyalarında, yüksəldilmiş imtiyazlardan əlavə olaraq kubectl vasitəsilə uzaqdan kodun icrasına və ya gizli məlumatların sızdırılmasına nail olmaq üçün istifadə edilə bilər. Bu, hücumun mürəkkəbliyini azalda bilər, lakin ən pis ssenarilər buna ehtiyac olmadan da tamamilə mümkündür. Bu zəiflik v1.7.8, v1.8.11 və v1.9.3 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- akuity kargo1.7.8, 1.8.11, 1.9.3 və ya daha yeni versiya
- github.com/akuity/kargo1.9.3, 1.8.11, 1.7.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| akuity kargo | 1.7.0 ≤ v < 1.7.8, 1.8.0 ≤ v < 1.8.11, 1.9.0 ≤ v < 1.9.3 | 1.7.8, 1.8.11, 1.9.3 |
| github.com/akuity/kargoGo | 1.9.0-rc.1 ≤ v < 1.9.3, 1.8.0-rc.1 ≤ v < 1.8.11, 1.7.0 ≤ v < 1.7.8 | 1.9.3, 1.8.11, 1.7.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.