CVE-2026-50166
Təsvir
Kuma həm Kubernetes, həm də VM-lərdə bütün bulud platformalarında işləyə bilən müasir Envoy əsaslı service mesh-dir. 2.7.26, 2.9.16, 2.11.14, 2.12.11 və 2.13.7 versiyalarından əvvəl, --ca-cert-file olmadan HTTPS idarəetmə müstəvisi (control plane) üçün əllə konfiqurasiya edilmiş kumactl profili TLS peer yoxlamasını deaktiv edir və API tokenlərini təsdiqlənməmiş bağlantı vasitəsilə göndərir. Şəbəkə yolundakı hücumçu istifadəçi və ya administrator API tokenlərini ələ keçirə və kompromisə uğramış istifadəçi adından idarəetmə müstəvisinə qarşı əməliyyatlar apara bilər. Defolt lokal profil sadə HTTP-dən istifadə etdiyi üçün bu problemdən təsirlənmir. Bu problem 2.7.26, 2.9.16, 2.11.14, 2.12.11 və 2.13.7 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kumahq kuma | < 2.7.26 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.