CVE-2026-55225
Açıklama
Strimzi, çeşitli dağıtım yapılandırmalarında Kubernetes veya OpenShift üzerinde bir Apache Kafka kümesi çalıştırmanın yolunu sunar. Strimzi 1.0.0 ve önceki sürümlerde, bir Kafka özel kaynağı oluşturabilen bir saldırgan, Kafka.spec.entityOperator watchedNamespace değerini hedef bir ad alanına ayarlayarak Cluster Operator'ın orada tam Secret CRUD izinlerine sahip bir Role oluşturmasına ve bunu saldırganın ad alanındaki Entity Operator ServiceAccount hesabına bağlamasına neden olabilir. Saldırgan, bu ServiceAccount için bir token oluşturabilir ve STRIMZI_NAMESPACE değerinden bağımsız olarak, Cluster Operator'a izin verilmiş olan herhangi bir hedef ad alanındaki Secret'ları okuyabilir veya yazabilir. Bu sorun 1.0.1 ve 1.1.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- io.strimzi:strimzi1.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| io.strimzi:strimziMaven | v < 1.0.1 | 1.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.