CVE-2026-72648
Açıklama
Elastic Cloud on Kubernetes (ECK) içinde bir Ortam Değişkeninde Hassas Bilgilerin Düz Metin Olarak Saklanması (CWE-526), Gömülü Hassas Verilerin Elde Edilmesi (CAPEC-37) yoluyla bilgi ifşasına yol açabilir. ECK, Elasticsearch'e bir hizmet hesabı belirteciyle kimlik doğrulayan bir Fleet Server kaynağını uzlaştırdığında, belirteç aynı yoldaki diğer kimlik bilgileri için ECK'nin yönettiği Kubernetes Secret'tan referans verilmek yerine oluşturulan iş yükü spesifikasyonuna düz metin olarak yazılır. Bu nedenle, etkilenen ad alanındaki iş yükü spesifikasyonlarını okuyabilen herhangi bir asıl, Kubernetes RBAC bu asıla Secret'lara erişim izni vermese bile canlı bir Elasticsearch kimlik bilgisini okuyabilir.
Nasıl düzeltilir
- elastic elastic_cloud_on_kubernetes3.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| elastic elastic_cloud_on_kubernetes | 3.0.0 ≤ v < 3.5.0 | 3.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.