CVE-2025-68153
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Juju w wersjach od 2.9 do przed 2.9.56 oraz od 3.6 do przed 3.6.19 zawiera podatność, która pozwala każdemu uwierzytelnionemu użytkownikowi, maszynie lub kontrolerowi na modyfikację zasobów aplikacji w całym kontrolerze.
Ocena ryzyka
Atakujący może nieautoryzowanie zmieniać konfigurację aplikacji, co może prowadzić do przerwania działania usług lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj Juju do wersji 2.9.56 lub 3.6.19, które zawierają poprawkę ograniczającą modyfikacje zasobów.
Inne podatności w Juju
Zobacz wszystkie- CVE-2017-9232Krytyczne
Juju w wersjach przed 1.25.12, 2.0.x przed 2.0.4 oraz 2.1.x przed 2.1.3 używa gniazda domeny UNIX bez odpowiednich uprawnień, co umożliwia eskalację uprawnień przez użytkowników systemu do poziomu roota.
- CVE-2025-68152Średnie
Juju w wersjach od 2.9 do 2.9.56 oraz od 3.6 do 3.6.19 umożliwia skompromitowanej maszynie roboczej odczyt dowolnego pliku dziennika dla dowolnego obiektu w dowolnym modelu na dowolnym poziomie.
Oryginalny opis (angielski, źródło NVD)
Juju is an open source application orchestration engine that enables any application operation on any infrastructure at any scale through special operators called ‘charms’. From versions 2.9 to before 2.9.56 and 3.6 to before 3.6.19, any authenticated user, machine or controller under a Juju controller can modify the resources of an application within the entire controller. This issue has been patched in versions 2.9.56 and 3.6.19.