CVE-2026-88021
Açıklama
Consul ve Consul Enterprise, bir servisin yetkisi olmayan bir hedefe erişmesine izin verebilen, Connect service mesh üzerindeki bir kimlik doğrulama atlatma zafiyetine sahiptir. Connect niyetlerini uygulamak için Envoy RBAC kuralları oluştururken Consul; servis adları, namespace'ler ve partition'lardaki belirli karakterleri doğru şekilde kaçırmamış (escape), bu da oluşturulan yetkilendirme kurallarının amaçlanandan daha geniş kapsamlı eşleşmesine neden olmuştur. Bu zafiyet (CVE-2026-88021), Consul 2.0.4 ile Consul Enterprise 1.21.18, 1.22.12 ve 2.0.4 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- HashiCorp Consul2.0.4 ya da sonraki bir sürüm
- HashiCorp Consul Enterprise2.0.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| HashiCorp Consul | 1.9.0 ≤ v < 2.0.4 | 2.0.4 |
| HashiCorp Consul Enterprise | 1.9.0 ≤ v < 2.0.4 | 2.0.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.