CVE-2025-29922
Açıklama
kcp, Kubernetes ve konteyner iş yüklerinin ötesindeki form faktörleri ve kullanım durumları için Kubernetes benzeri bir kontrol düzlemidir. 0.26.3 sürümünden önce tespit edilen güvenlik açığı, önceden mevcut kaynaklar için herhangi bir hedef workspace içerisinde APIExport VirtualWorkspace aracılığıyla API üzerinden nesne oluşturulmasına veya silinmesine izin vermektedir. Tasarım gereği bu işlem, yalnızca workspace sahibinin bir APIBinding oluşturarak bir API sağlayıcısına erişim verme kararı aldığı durumlarda mümkün olmalıdır. Bu güvenlik açığı ile, bu gereksinimlerin hiçbiri karşılanmasa bile, yani ilgili workspace'de hiçbir APIBinding bulunmasa veya workspace sahibi bir APIBinding oluşturup bir izin talebini reddetmiş olsa bile, bir saldırganın nesneler oluşturması ve silmesi mümkündür. Bu sorun için bir düzeltme belirlenmiş olup kcp 0.26.3 ve 0.27.0 sürümleriyle yayınlanmıştır.
Nasıl düzeltilir
- github.com/kcp-dev/kcp0.26.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/kcp-dev/kcpGo | v < 0.26.3 | 0.26.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.