CVE-2026-89139

Temporal Server, Worker Controller Instance modulunu özünün Worker Service hissəsinə kompilyasiya edir və həmin modul, Worker Service-i host edən maşında əmr işlədərək worker-i başlatmaq funksiyasına malik olan subprocess adlı hesablama provayderini qeydiyyata alır. Provayderin icra etdiyi proqram adı və arqument vektoru operator konfiqurasiyasından deyil, çağırıcının sorğusunda təqdim olunan hesablama provayderi konfiqurasiyasından götürülür. Beləliklə, tək bir namespace-də yalnız yazma roluna malik autentifikasiya olunmuş çağırıcı, worker yerləşdirmə versiyasını elə konfiqurasiya edə bilər ki, Worker Service çağırıcının seçdiyi əmri öz hostunda, server prosesinin işlədiyi hesab altında icra etsin. İcra gecikdirilmiş deyil, dərhal baş verir: konfiqurasiya idarəedicisi təqdim edilmiş spesifikasiyanı təsdiqlədikdən dərhal sonra hər bir provayderi invoke strategiyasını istifadə edərək çağırır, buna görə də heç bir miqyaslandırma qərarı, tapşırığın gəlişi və ya qeyri-adi sorğu ardıcıllığı tələb olunmur. Worker Service prosesi klasterdəki hər bir namespace üçün dayanıqlılıq etibarnamələrini və klasterin TLS materiallarını saxladığı üçün bunun nəticələri çağırıcının namespace-indən kənara çıxaraq bütün klasterə təsir edir. Provayder təsirlənmiş buraxılışlar üçün rəsmi temporal-server binar fayllarında və konteyner imiclərində mövcuddur. Onu əlçatmaz edə biləcək yeganə nəzarət mexanizmi hesablama provayderlərinin ağ siyahısıdır (per-namespace dinamik konfiqurasiya parametri olan workercontroller.compute_providers.enabled), lakin bu nəzarət standart olaraq imtina etmir: onun standart dəyəri təyin edilməmiş siyahıdır və dəyər təyin edilmədikdə ağ siyahı yoxlaması tamamilə ötürülür, beləliklə, qeydiyyatdan keçmiş hər bir hesablama provayderinə, o cümlədən buna icazə verilir. Yerləşdirmənin təsirlənib-təsirlənmədiyini müəyyən etmək üçün aşağıdakıları birlikdə yoxlayın: Yerləşdirilən Temporal Server versiyası 1.31.0 və ya daha yeni, lakin 1.31.3-dən əvvəlki versiyadır. Worker Service işlək vəziyyətdədir (standart xidmət dəstində və buna görə də standart yerləşdirmədə belə olur). Hər bir namespace üçün effektiv workercontroller.compute_providers.enabled dəyəri ya təyin edilməyib, ya da subprocess ehtiva edir. Və avtorizasiya konfiqurasiya edilib, yəni real authorizer və claim mapper mövcuddur; authorizer olmadan işləyən yerləşdirmə artıq hər bir çağırıcıya hər bir namespace-ə məhdudiyyətsiz giriş imkanı verir, buna görə də burada aşılması üçün heç bir namespace sərhədi yoxdur. Qeyd edin ki, ayrıca per-namespace dinamik konfiqurasiya parametri olan workercontroller.enabled təsirlənən yolu bağlamır. Onun standart dəyəri false-dur və heç bir namespace-də təyin edilməmiş yerləşdirmə hələ də təsirlənir; bu, dinamik konfiqurasiyada heç bir yerdə həmin parametr üçün dəyər olmayan təsirlənmiş buraxılışı işlətməklə təsdiqlənmişdir. Artıq qoşulmuş hesablama konfiqurasiyasını axtarmaq üçün hər bir namespace-dəki hər bir worker yerləşdirmə versiyası üçün DescribeWorkerDeploymentVersion funksiyasını çağırın və hər hansı bir scaling group-un compute provider tipinin subprocess olub-olmadığını yoxlayın.