CVE-2026-100102
KrytyczneCVSS 9.5Streszczenie
Obrazy kontenerów Perforce P4 Search przed wersją 2026.4.2 włączają nieuwierzytelniony interfejs debugowania Java. Atakujący z dostępem sieciowym do tego interfejsu może wykonać dowolny kod jako konto usługi P4 Search, co może prowadzić do naruszenia bezpieczeństwa połączonego serwera P4.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania dowolnego kodu z uprawnieniami usługi, co może prowadzić do pełnego naruszenia bezpieczeństwa systemu i dostępu do wrażliwych danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie obrazów kontenerów P4 Search do wersji 2026.4.2 lub nowszej. Należy również wyłączyć lub zabezpieczyć interfejs debugowania Java oraz ograniczyć dostęp sieciowy do niego.
Inne podatności w P4 Search
Zobacz wszystkie- CVE-2026-103510Krytyczne
P4 Search w wersjach przed 2026.4.2 nie zabezpiecza się w sposób bezpieczny, gdy jego token uwierzytelniania usługi jest pusty. W dotkniętych konfiguracjach nieuwierzytelniony atakujący z dostępem do sieci może uzyskać najwyższy poziom uprawnień aplikacji, co może prowadzić do naruszenia bezpieczeństwa P4 Search i połączonego serwera P4.
- CVE-2026-100103Krytyczne
Obrazy kontenerów Perforce P4 Search przed wersją 2026.4.2 resetują token uwierzytelniania usługi do publicznie udokumentowanej wartości domyślnej. Nieuwierzytelniony atakujący z dostępem do sieci może uzyskać najwyższy poziom uprawnień aplikacji, co może prowadzić do wykonania dowolnego kodu i naruszenia bezpieczeństwa połączonego serwera P4.
Oryginalny opis (angielski, źródło NVD)
Perforce P4 Search container images prior to 2026.4.2 enable an unauthenticated Java debug interface. An attacker with network access to this interface can execute arbitrary code as the P4 Search service account, potentially leading to compromise of the connected P4 Server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS