CVE-2026-62290
Açıklama
cert-manager, Kubernetes kümelerine kaynak türleri olarak sertifikalar ve sertifika yayıncıları ekler; bu sertifikaların alınması, yenilenmesi ve kullanılması süreçlerini kolaylaştırır. 1.18.0 ile 1.19.6 ve 1.20.3 arasındaki sürümlerde, acme.cert-manager.io altındaki Challenge kaynakları, Challenge'ı bir Order'a, sahip referansına veya Issuer tarafından seçilen bir çözücüye bağlayan kabul doğrulaması (admission validation) olmaksızın doğrudan namespace kullanıcıları tarafından oluşturulabilir. Bu durum, saldırgan tarafından kontrol edilen ve bir ClusterIssuer'a referans veren Challenge.spec.solver değerlerinin; dnsZones, dnsNames ve matchLabels gibi DNS01 çözücü seçicilerini atlatmasına ve cert-manager'ın, acme-dns için X-Api-User ve X-Api-Key başlıklarının ifşasını da içeren, saldırgan tarafından seçilen sağlayıcı ayarları ve DNS adları için ClusterIssuer DNS kimlik bilgilerini kullanmasına neden olur. Bu sorun 1.19.6 ve 1.20.3 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- linuxfoundation cert-manager1.19.6, 1.20.3 ya da sonraki bir sürüm
- github.com/cert-manager/cert-manager1.19.6, 1.20.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation cert-manager | 1.18.0 ≤ v < 1.19.6, 1.20.0 ≤ v < 1.20.3 | 1.19.6, 1.20.3 |
| github.com/cert-manager/cert-managerGo | 1.18.0 ≤ v < 1.19.6, 1.20.0-alpha.0 ≤ v < 1.20.3 | 1.19.6, 1.20.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.