CVE-2026-112000
WysokieCVSS 7.6Streszczenie
Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność braku autoryzacji w bramie, która pozwala każdemu uwierzytelnionemu użytkownikowi wywoływać metody Subscribe, Ack i niezarejestrowane metody bez sprawdzania uprawnień. Atakujący mogą podać identyfikator subskrypcji innego najemcy w Subscribe, aby ją przejąć, odczytywać i potwierdzać jej zdarzenia, zagłodzić legalnego konsumenta i wyliczać użytkowników klastra poprzez ListUser.
Ocena ryzyka
Atakujący może przejąć subskrypcje innych najemców, zakłócić przetwarzanie zdarzeń i uzyskać informacje o użytkownikach klastra, co narusza izolację i poufność danych.
Rekomendacja
Zaktualizuj Vanus do wersji nowszej niż 0.9.0, a jeśli to niemożliwe, wdróż dodatkowe kontrole autoryzacji w bramie dla metod Subscribe, Ack i innych oraz ogranicz dostęp do API.
Inne podatności w Vanus
Zobacz wszystkie- CVE-2026-111999Wysokie
Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym publikować zdarzenia do dowolnego eventbusa poprzez odbiornik HTTP CloudEvents w bramie. Atakujący mogą wysyłać sfałszowane CloudEvents na ścieżki /namespaces/{ns}/eventbus/{name}/events lub starsze /gateway/{name}, omijając uwierzytelnianie tokenem i kontrole authPublish, przez co są one przechowywane i dostarczane do odbiorców subskrypcji.
- CVE-2026-111998Krytyczne
Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp na poziomie cluster-admin poprzez użycie zakodowanego na stałe tokenu administratora. Atakujący mogą wysłać stały token Bearer do portu proxy gRPC bramy, aby zarządzać przestrzeniami nazw, eventbusami, użytkownikami, tokenami i powiązaniami ról oraz odczytywać lub publikować zdarzenia.
Oryginalny opis (angielski, źródło NVD)
Vanus 0.8.0 through 0.9.0 contains a missing authorization vulnerability in the gateway that allows any authenticated user to call Subscribe, Ack, and unregistered methods without permission checks. Attackers can supply another tenant's subscription ID to Subscribe to hijack it, read and acknowledge its events, starve the legitimate consumer, and enumerate cluster users via ListUser.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS