CVE-2026-103956
KrytyczneCVSS 10.0Streszczenie
Brak uwierzytelniania dla funkcji krytycznej w zależności uwierzytelniania w Loom for AWS przed 1.6.1 pozwala zdalnym podmiotom uzyskać uprawnienia superadministratora nad płaszczyzną kontroli agentów. Obejmuje to rejestrowanie serwerów narzędzi, odczyt przechowywanych poświadczeń integracji oraz przepisywanie polityk ról IAM przypisanych do zarządzanych ról agentów, poprzez dowolne żądanie do API aplikacji w środowisku, w którym nie skonfigurowano dostawcy tożsamości.
Ocena ryzyka
W środowiskach bez skonfigurowanego dostawcy tożsamości zdalny atakujący może uzyskać uprawnienia superadministratora nad płaszczyzną kontroli agentów. Umożliwia to rejestrowanie serwerów narzędzi, kradzież poświadczeń integracji i modyfikację polityk IAM, co prowadzi do pełnej kompromitacji środowiska AWS.
Rekomendacja
Zaktualizuj Loom for AWS do wersji 1.6.1 lub nowszej. Upewnij się, że w każdym wdrożeniu skonfigurowano dostawcę tożsamości, aby zapobiec nieautoryzowanemu dostępowi.
Inne podatności w Loom for AWS
Zobacz wszystkie- CVE-2026-103958Wysokie
Loom for AWS przed wersją 1.7.0 zawiera podatność na Server-Side Request Forgery (SSRF) w obsłudze połączeń z serwerem narzędzi i zdalnym agentem. Uwierzytelniony zdalny użytkownik może uzyskać poświadczenia roli kontenera aplikacji oraz odczytać odpowiedzi z dowolnych wewnętrznych lokalizacji sieciowych, podając spreparowany adres połączenia podczas rejestracji, aktualizacji lub testowania serwera narzędzi lub zdalnego agenta.
- CVE-2026-103957Średnie
Podatność typu server-side request forgery w obsłudze wykrywania OAuth2 w Loom for AWS przed wersją 1.7.0 może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na uzyskanie tokenu dostępu innego użytkownika wdrożenia oraz na wysyłanie żądań do dowolnych wewnętrznych lokalizacji sieciowych. Atak odbywa się poprzez spreparowany adres dokumentu wykrywania podany podczas rejestracji serwera narzędzi lub zdalnego agenta skonfigurowanego do uwierzytelniania delegowanego.
Oryginalny opis (angielski, źródło NVD)
Missing authentication for critical function in the authentication dependency in Loom for AWS before 1.6.1 allowed remote actors to obtain super-admin authority over the agent control plane, including registering tool servers, reading stored integration credentials, and rewriting the IAM role policies attached to managed agent roles, via any request to the application API in a deployment where no identity provider is configured. To remediate this issue, users should upgrade to version 1.6.1 or later.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS