CVE-2026-18673
Açıklama
kuma-dp, varsayılan olduğu üzere Envoy admin API ile bir Unix domain soketi üzerinde yapılandırıldığında, tüm arayüzlere bağlı olan TCP port 9902 üzerindeki hazırlık servisi (readiness service), herhangi bir kimlik doğrulama olmaksızın Envoy admin API'nin neredeyse tamamını bu porta erişebilen her çağırıcıya yönlendirir. Bir veri düzleminin (data plane) 9902 numaralı portuna ağ erişimi olan bir saldırgan (örneğin küme ağındaki başka bir pod), kimlik bilgileri olmadan Envoy ve veri düzlemi konfigürasyonlarını; konfigürasyon dökümlerini (config dumps), küme ve dinleyici listelerini, istatistikleri ve mesh güven paketiyle birlikte okuyabilir. Bu durum salt okunur bir ifşadır; yıkıcı Envoy admin işlemleri engellenmiştir ve özel anahtarlar ifşa edilmez.
Nasıl düzeltilir
- Kong Inc. Kong Mesh2.14.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Kong Inc. Kong Mesh | 2.14.0 ≤ v < 2.14.2 | 2.14.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.