CVE-2026-25538
Açıklama
Devtron, Kubernetes için açık kaynaklı bir araç entegrasyon platformudur. Versiyon 2.0.0 ve öncesinde, Devtron'un Attributes API arayüzünde, kimliği doğrulanmış herhangi bir kullanıcının (düşük yetkili CI/CD Geliştiricileri dahil), /orchestrator/attributes?key=apiTokenSecret uç noktasına erişerek küresel API Token imzalama anahtarını elde etmesine izin veren bir güvenlik açığı bulunmaktadır. Anahtarı elde ettikten sonra saldırganlar, rastgele kullanıcı kimlikleri için çevrimdışı olarak JWT tokenları oluşturabilir; böylece Devtron platformu üzerinde tam kontrol sağlayabilir ve alttaki Kubernetes kümesine yanal hareket gerçekleştirebilirler. Bu sorun d2b0d26 commit'i ile düzeltilmiştir.
Nasıl düzeltilir
- devtron devtron2.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| devtron devtron | v < 2.0.0 | 2.0.0 |
| github.com/devtron-labs/devtronGo | v ≤ 2.0.0, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.