CVE-2025-59836

W Omni (zarządzanie Kubernetes na bare metal, maszynach wirtualnych lub w chmurze) od wersji 1.3.0 do 1.6.6 i 1.7.3 importowanie samodzielnego klastra Talos tworzy zasób ImportedClusterSecrets zawierający pełny pakiet sekretów CA klastra. Reguły dostępu w internal/backend/runtime/omni/state_access.go pozwalają uwierzytelnionemu użytkownikowi z rolą Reader na pobranie tego zasobu przez ResourceService, jeśli importujący nie obrócił tych sekretów, ujawniając klucze prywatne CA Kubernetes, Talos i etcd oraz klucz konta usługi. Luka jest naprawiona w wersjach 1.6.6 i 1.7.3.

W Omni przed wersjami 1.6.6 i 1.7.3 funkcja managementServer.CreateSchematic w pliku internal/backend/grpc/schematics.go przekazuje kontrolowane przez wywołującego pole TalosVersion do imageFactoryClient.OverlaysVersions bez walidacji jako wersji. Uwierzytelniony Operator może przesłać segmenty przejścia ścieżki w TalosVersion, które url.URL.JoinPath normalizuje do nieoczekiwanych ścieżek na hoście image-factory. Omni wykonuje żądania HTTP GET do tych ścieżek i odzwierciedla treść błędów, umożliwiając sondowanie punktów końcowych na tym samym hoście i możliwe ujawnienie wewnętrznych informacji diagnostycznych.

W Omni przed wersją 1.6.6 oraz od 1.7.0 do 1.7.3 funkcja SAML.getSession w internal/pkg/auth/interceptor/saml.go sprawdza SAMLAssertion.Used i oznacza ją jako używaną w oddzielnych operacjach stanu. Równoległe żądania z tym samym przechwyconym tokenem saml-session mogą każde zaobserwować asercję jako nieużywaną i uzyskać uwierzytelnienie jako ofiara, zanim którakolwiek aktualizacja stanie się widoczna. Luka jest naprawiona w wersjach 1.6.6 i 1.7.3.

Omni przed wersjami 1.1.5 i 1.0.2 może ujawniać wrażliwe informacje przez API. Podatność dotyczy zarządzania Kubernetes na gołym metalu, maszynach wirtualnych lub w chmurze.