CVE-2026-71895
Açıklama
Apache DolphinScheduler'daki bir yetkilendirme zafiyeti, kimliği doğrulanmış yönetici olmayan kullanıcıların, yönetici tarafından yönetilen küme yapılandırması için amaçlanan Kubernetes yapılandırma verilerini almasına olanak tanır. Açığa çıkan kubeconfig verileri, kullanıcıların DolphinScheduler dışında doğrudan Kubernetes API'sine kimlik doğrulamasına izin verebilecek kimlik bilgilerini içerir. Etki, ifşa edilen kimlik bilgilerine verilen izinlere bağlıdır. Eğer kubeconfig, cluster-admin veya geniş ayrıcalıklara sahip servis hesabı erişimi sağlıyorsa, bir saldırgan Kubernetes Secret'larını okuyabilir, pod'lar oluşturabilir ve kümeye kalıcı erişim sağlayabilir. Bu sorun şu Apache DolphinScheduler sürümlerini etkilemektedir: 3.2.0 ile 3.4.3 arası. Kullanıcıların, sorunu gideren 3.4.3 sürümüne yükseltme yapmaları önerilir.
Nasıl düzeltilir
- Apache Software Foundation Apache DolphinScheduler3.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache DolphinScheduler | 3.1.0 ≤ v < 3.4.3 | 3.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.