CVE-2025-2842
Açıklama
Tempo Operator içerisinde bir açık bulundu. Tempo Operator tarafından yönetilen bir Tempo örneğinde Jaeger UI Monitor Tab işlevi etkinleştirildiğinde, Operator, Tempo örneğinin Service Account'una cluster-monitoring-view ClusterRole yetkisini vermek için bir ClusterRoleBinding oluşturur. Bir kullanıcının bir ad alanında (namespace) TempoStack üzerinde 'create' ve Secret üzerinde 'get' izinlerine sahip olması durumunda (örneğin, kullanıcının belirli bir ad alanı için ClusterAdmin izinleri varsa), kullanıcı Tempo service account token'ını okuyabilir ve bu nedenle tüm küme metriklerini görme erişimine sahip olabilir; bu durum istismar edilebilir.
Nasıl düzeltilir
- github.com/grafana/tempo-operator0.16.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/grafana/tempo-operatorGo | v < 0.16.0 | 0.16.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.