CVE-2026-115216
KrytyczneCVSS 9.1Streszczenie
W Eclipse ioFog Operator w wersjach od 3.8.0 do 3.9.2 wyłączona jest weryfikacja certyfikatów TLS podczas komunikacji z API Controllera oraz logowania do zewnętrznego dostawcy OIDC. Atakujący w ścieżce może podszyć się pod serwer, przechwycić sekret klienta OAuth lub hasło administratora bootstrap Controllera i dostarczyć token dostępu zapisywany przez operatora.
Ocena ryzyka
Przechwycone poświadczenia mogą pozwolić atakującemu na podszycie się i dostęp do API Controllera. Stanowi to poważne ryzyko dla poufności i integralności zarządzanej infrastruktury.
Rekomendacja
Zaktualizuj Eclipse ioFog Operator do wersji 3.9.2 lub nowszej. Do czasu aktualizacji ogranicz zaufanie do sieci i monitoruj nietypowe połączenia.
Powiązane podatności
- CVE-2026-117564Krytyczne
nest-admin w wersjach przed 1.0.1 zawiera obejście uwierzytelniania umożliwiające nieuwierzytelnionym atakującym sfałszowanie tokenów administratora przy użyciu zaszytego na stałe JWT_SECRET w pliku .env.production. Atakujący może podpisywać tokeny znanym sekretem, którym ufają JwtStrategy i RbacGuard, podszywając się pod dowolne ID użytkownika lub przypisując rolę administratora.
- CVE-2026-65145Krytyczne
NVIDIA NeMo Agent Toolkit zawiera podatność związaną z brakiem uwierzytelniania, którą atakujący może wykorzystać. Może to prowadzić do wykonania kodu, eskalacji uprawnień, modyfikacji danych, odmowy usługi oraz ujawnienia informacji.
- CVE-2026-112362Krytyczne
Wtyczka @fastify/express w wersjach 4.0.5–4.0.8 przy włączonej opcji ignoreDuplicateSlashes może dopasować middleware Express do ścieżki, której router Fastify już nie widzi w ten sam sposób. Pozwala to na ominięcie middleware uwierzytelniania, autoryzacji lub limitowania ruchu dla żądań z absolutnym celem żądania.
- CVE-2026-117532Krytyczne
REDAXO w wersjach od 5.3.0 przed 5.21.4 zawiera podatność polegającą na obejściu uwierzytelniania w pluginie structure/history. Nieuwierzytelniony atakujący może wymusić przewidywalny stan sekretu powiązanego z sesją i sfałszować tymczasowe tokeny logowania dla kont takich jak admin, uzyskując dostęp do backendu i wykonanie kodu poza trybem live.
- CVE-2026-86577Krytyczne
Podatność typu out-of-bounds write w produktach JP1 firmy Hitachi. Problem dotyczy JP1/Integrated Management 3 - Manager, JP1/Automatic Job Management System 3 (Manager, Agent, Agent Minimal Edition) oraz JP1/Base w określonych wersjach. Błąd zapisu poza granicami bufora może prowadzić do uszkodzenia pamięci.
- CVE-2026-86576Krytyczne
Podatność przepełnienia bufora w stercie (heap-based buffer overflow) w produktach JP1 firmy Hitachi. Dotyczy JP1/Integrated Management 3 - Manager, JP1/Automatic Job Management System 3 (Manager, Agent, Agent Minimal Edition) oraz JP1/Base w podanych zakresach wersji. Błąd może prowadzić do uszkodzenia pamięci sterty.
- CVE-2026-86575Krytyczne
Podatność przepełnienia bufora na stosie (stack-based buffer overflow) w produktach JP1 firmy Hitachi. Dotyczy JP1/Integrated Management 3 - Manager, JP1/Automatic Job Management System 3 (Manager, Agent, Agent Minimal Edition) oraz JP1/Base w określonych wersjach. Błąd może prowadzić do uszkodzenia stosu i potencjalnego wykonania kodu.
- CVE-2026-86574Krytyczne
Podatność przepełnienia bufora w stercie (heap-based buffer overflow) w produkcie JP1/Base firmy Hitachi. Dotyczy wersji od 11-00 do wersji przed 12-50-54. Błąd może prowadzić do uszkodzenia pamięci sterty.
- CVE-2026-82122Krytyczne
Podatność przepełnienia bufora na stosie (stack-based buffer overflow) w systemie HiRDB firmy Hitachi. Dotyczy HiRDB Server Version 10 (od 10-00 przed 10-12-01) oraz HiRDB Server Version 9 i wariantów z dodatkowymi funkcjami w podanych zakresach wersji. Błąd może prowadzić do uszkodzenia stosu.
- CVE-2026-82120Krytyczne
Podatność przepełnienia bufora w stercie (heap-based buffer overflow) w systemie HiRDB firmy Hitachi. Dotyczy HiRDB Server Version 10 (od 10-00 przed 10-12-01) oraz HiRDB Server Version 9 i wariantów z dodatkowymi funkcjami w podanych zakresach wersji. Błąd może prowadzić do uszkodzenia pamięci sterty.
Oryginalny opis (angielski, źródło NVD)
In Eclipse ioFog Operator versions 3.8.0 before 3.9.2, TLS certificate verification is disabled when the operator contacts the Controller API and when it logs in to an external OIDC issuer. An on-path attacker can present any certificate, capture the OAuth client secret (external mode) or the Controller bootstrap admin password (embedded mode with Controller HTTPS enabled), and supply the access token the operator stores for later Controller API calls. v3.8 removed Keycloak. The exposed credential is not a Keycloak realm-admin secret.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS