CVE-2025-68152
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Juju w wersjach od 2.9 do 2.9.56 oraz od 3.6 do 3.6.19 umożliwia skompromitowanej maszynie roboczej odczyt dowolnego pliku dziennika dla dowolnego obiektu w dowolnym modelu na dowolnym poziomie.
Ocena ryzyka
Atakujący kontrolujący skompromitowaną maszynę roboczą może uzyskać dostęp do wrażliwych danych dzienników, co może prowadzić do wycieku informacji lub dalszej eskalacji uprawnień.
Rekomendacja
Zaktualizuj Juju do wersji 2.9.56 lub 3.6.19, które zawierają poprawkę.
Inne podatności w Juju
Zobacz wszystkie- CVE-2017-9232Krytyczne
Juju w wersjach przed 1.25.12, 2.0.x przed 2.0.4 oraz 2.1.x przed 2.1.3 używa gniazda domeny UNIX bez odpowiednich uprawnień, co umożliwia eskalację uprawnień przez użytkowników systemu do poziomu roota.
- CVE-2025-68153Średnie
Juju w wersjach od 2.9 do przed 2.9.56 oraz od 3.6 do przed 3.6.19 zawiera podatność, która pozwala każdemu uwierzytelnionemu użytkownikowi, maszynie lub kontrolerowi na modyfikację zasobów aplikacji w całym kontrolerze.
Oryginalny opis (angielski, źródło NVD)
Juju is an open source application orchestration engine that enables any application operation on any infrastructure at any scale through special operators called ‘charms’. From versions 2.9 to before 2.9.56 and 3.6 to before 3.6.19, it is possible that a compromised workload machine under a Juju controller can read any log file for any entity in any model at any level. This issue has been patched in versions 2.9.56 and 3.6.19.