CVE-2025-32781
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W systemie Apollo Portal przed wersją 2.5.0 wykryto podatność polegającą na braku weryfikacji uprawnień do aplikacji i przestrzeni nazw podczas pobierania wydania po jego identyfikatorze. Uwierzytelniony użytkownik o niskich uprawnieniach może odczytać dane konfiguracyjne z innych aplikacji, jeśli zna lub odgadnie poprawny releaseId, z pominięciem mechanizmu UserPermissionValidator.shouldHideConfigToCurrentUser(...).
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do poufnych danych konfiguracyjnych innych aplikacji i przestrzeni nazw, co może prowadzić do wycieku wrażliwych informacji, takich jak hasła, klucze API czy adresy usług.
Rekomendacja
Należy niezwłocznie zaktualizować system Apollo do wersji 2.5.0 lub nowszej, która zawiera poprawkę usuwającą tę lukę. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu Portal oraz monitorowanie żądań do endpointu GET /envs/{env}/releases/{releaseId}.
Inne podatności w Apollo
Zobacz wszystkie- CVE-2026-59955Wysokie
Apollo ConfigService przed wersją 2.5.2 może zezwalać na nieautoryzowany dostęp do surowych danych konfiguracyjnych, gdy włączone jest uwierzytelnianie AccessKey lub kluczem zarządzania. Problem wynika z błędnego parsowania ścieżki żądania /configfiles/raw/{appId}/{clusterName}/{namespace}, gdzie identyfikator aplikacji jest odczytywany jako 'raw' zamiast rzeczywistej wartości z URL, co prowadzi do pominięcia weryfikacji podpisu dla docelowej aplikacji.
- CVE-2026-59954Wysokie
Apollo ConfigService przed wersją 2.5.2 umożliwia nieautoryzowany dostęp do danych konfiguracyjnych, gdy włączone jest uwierzytelnianie AccessKey lub kluczem zarządzania. Problem wynika z akceptacji niekanonicznych wariantów appId (np. z akcentami lub spacjami) podczas uwierzytelniania, które są następnie rozwiązywane do chronionego appId w endpointach /configs i /configfiles.
Oryginalny opis (angielski, źródło NVD)
Apollo is a reliable configuration management system suitable for microservice configuration management scenarios. Prior to 2.5.0, Apollo Portal does not verify application and namespace permissions when an authenticated user requests a release by ID through GET /envs/{env}/releases/{releaseId} while configView.memberOnly.envs is enabled, allowing a low-privileged Portal user who obtains or guesses a valid releaseId to read configuration data from other applications and namespaces without calling UserPermissionValidator.shouldHideConfigToCurrentUser(...). This issue is fixed in version 2.5.0.