CVE-2025-41118
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Podatność w Pyroscope umożliwia wyodrębnienie klucza tajnego (secret_key) konfiguracji Tencent COS z API bazy danych. Atak wymaga bezpośredniego dostępu do API Pyroscope.
Ocena ryzyka
Organizacja ryzykuje ujawnieniem wrażliwych danych uwierzytelniających do magazynu obiektów, co może prowadzić do nieautoryzowanego dostępu do danych lub ich kradzieży.
Rekomendacja
Zaleca się natychmiastową aktualizację Pyroscope do wersji 1.15.2, 1.16.1 lub 1.17.0 (w zależności od używanej gałęzi) oraz ograniczenie dostępu do API tylko do zaufanych użytkowników i systemów wewnętrznych.
Powiązane podatności
- CVE-2026-96207Krytyczne
Nieprawidłowa walidacja certyfikatów w Microsoft Partner Center pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-94510Krytyczne
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w Microsoft Bookings pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-88131Krytyczne
Podatność deserializacji niezaufanych danych w Microsoft Dataverse umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-77900Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure App Service umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-69435Krytyczne
Brak autoryzacji w Azure SRE Agent umożliwia uwierzytelnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-84249Krytyczne
IBM Guardium Data Protection w wersjach 12.2 i 12.2.2 może pozwolić zdalnemu atakującemu na wykonywanie dowolnych operacji zarządzających z powodu braku uwierzytelniania dla krytycznej funkcji.
- CVE-2026-80381Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonywanie nieautoryzowanych instrukcji SQL z powodu podatności SQL injection.
- CVE-2026-75875Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu podatności path traversal.
- CVE-2026-107726Krytyczne
Hazelcast przed wersjami 5.4.5, 5.5.10 i 5.6.1 zawiera błąd niewłaściwej walidacji danych od złośliwego klienta, co umożliwia dowolny odczyt z pamięci heap i poza-heap członka klastra oraz przestrzeni adresowej procesu JVM. Ta sama wada może spowodować awarię członków klastra, a w niektórych konfiguracjach Hazelcast Enterprise Edition uszkodzenie pamięci z możliwym wykonaniem dowolnego kodu. Problem naprawiono w wersjach 5.4.5, 5.5.10, 5.6.1 i 5.7.0.
- CVE-2026-107722Krytyczne
fast-jwt od wersji 6.2.0 do 6.3.0 może błędnie zaklasyfikować tekst klucza publicznego RSA jako sekret HMAC, gdy klucz zawiera nie-białe znaki przed nagłówkiem PEM. W src/crypto.js funkcja performDetectPublicKeyAlgorithms przycina białe znaki, ale publicKeyPemMatcher pozostaje zakotwiczony na początku, więc komentarze, znaki kontrolne, znaki o zerowej szerokości lub tekst opakowujący mogą uniemożliwić wykrycie PEM i doprowadzić do użycia HMAC. Atakujący znający bajty klucza publicznego może podpisać dowolne oświadczenia HS256 tym materiałem publicznym, gdy HS256 jest wywnioskowany lub dozwolony, co skutkuje obejściem uwierzytelniania lub autoryzacji. Lista dozwolonych algorytmów tylko asymetrycznych zapobiega atakowi. Problem naprawiono w wersji 6.3.0.
Oryginalny opis (angielski, źródło NVD)
Pyroscope is an open-source continuous profiling database. The database supports various storage backends, including Tencent Cloud Object Storage (COS). If the database is configured to use Tencent COS as the storage backend, an attacker could extract the secret_key configuration value from the Pyroscope API. To exploit this vulnerability, an attacker needs direct access to the Pyroscope API. We highly recommend limiting the public internet exposure of all our databases, such that they are only accessible by trusted users or internal systems. This vulnerability is fixed in versions: 1.15.x: 1.15.2 and above. 1.16.x: 1.16.1 and above. 1.17.x: 1.17.0 and above (i.e. all versions). Thanks to Théo Cusnir for reporting this vulnerability to us via our bug bounty program.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS