CVE-2025-2786
Açıklama
Tempo Operator'da, bir kullanıcı TempoStack veya TempoMonolithic örneği dağıttığında bir ServiceAccount, ClusterRole ve ClusterRoleBinding oluşturulmasına neden olan bir açık bulundu. Bu açık, kendi ad alanına tam erişimi olan bir kullanıcının ServiceAccount belirtecini çıkarmasına ve bunu TokenReview ile SubjectAccessReview istekleri göndermek için kullanmasına izin vererek potansiyel olarak diğer kullanıcıların izinleri hakkında bilgi ifşa edilmesine yol açar. Bu durum yetki yükseltmeye veya kimliğe bürünmeye izin vermese de, daha ileri saldırılar için bilgi toplamaya yardımcı olabilecek bilgileri açığa çıkarır.
Nasıl düzeltilir
- github.com/grafana/tempo-operator0.16.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/grafana/tempo-operatorGo | v < 0.16.0 | 0.16.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.