CVE-2026-39910
Açıklama
STACKIT IaaS API, kimliği doğrulanmış düşük yetkili saldırganların, kontrol ettikleri sanal makinelere rastgele servis hesapları ekleyerek yetkilerini tüm organizasyonu ele geçirecek şekilde yükseltmelerine olanak tanıyan bir eksik yetkilendirme kontrolü zafiyeti içermektedir. Saldırganlar, doğrulanmamış PUT servers service-accounts uç noktasını kullanarak yüksek yetkili servis hesaplarını ekleyebilir ve kiracı sınırlarını aşarak tüm organizasyon ortamı üzerinde yetkisiz kontrol sağlamak için OAuth2 belirteçlerini almak amacıyla Instance Metadata Service'i sorgulayabilirler.
Nasıl düzeltilir
- STACKIT IaaS API2026-05-28 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| STACKIT IaaS API | v < 2026-05-28 | 2026-05-28 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.