CVE-2026-32694
Açıklama
Juju'nun 3.0.0 ile 3.6.18 arasındaki sürümlerinde, bir gizli anahtar sahibi bir hak sahibine gizli anahtara erişim izinleri verdiğinde, gizli anahtar sahibi sahipliği doğrulamak için yalnızca gizli anahtarın öngörülebilir XID değerine güvenir. Bu durum, gizli anahtar talep edebilen kötü niyetli bir hak sahibinin, aynı gizli anahtar sahibi tarafından farklı hak sahiplerine verilmiş geçmiş gizli anahtarları öngörmesine ve bu geçmiş gizli anahtarlar aracılığıyla sağlanan kaynakları kullanmasına olanak tanır. Başarılı bir istismar; çok spesifik bir yapılandırmaya, belirli veri semantiğine ve yöneticinin biri saldırgan tarafından kontrol edilen en az iki farklı uygulama dağıtma gereksinimine dayanmaktadır.
Nasıl düzeltilir
- canonical juju3.6.19 ya da sonraki bir sürüm
- github.com/juju/juju0.0.0-20260319091847-d06919eb03ec ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| canonical juju | 3.0.0 ≤ v < 3.6.19 | 3.6.19 |
| github.com/juju/jujuGo | 0.0.0-20221021155847-35c560704ee2 ≤ v < 0.0.0-20260319091847-d06919eb03ec | 0.0.0-20260319091847-d06919eb03ec |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.