CVE-2026-115289
ŚrednieCVSS 4.3Streszczenie
Użycie wielu zasobów z zduplikowanym identyfikatorem (CWE-694) w APM Server może prowadzić do ujawnienia informacji poprzez specjalnie spreparowane żądanie konfiguracji agenta. Uwierzytelniony agent APM może otrzymać centralną konfigurację agenta należącą do innej usługi, dopóki pamięć podręczna konfiguracji nie wygaśnie. Usługa może również działać z ustawieniami centralnej konfiguracji, takimi jak ustawienia próbkowania, przeznaczonymi dla innej usługi.
Ocena ryzyka
Agent może otrzymać konfigurację innej usługi, co może prowadzić do nieprawidłowego zbierania danych, ujawnienia informacji lub błędnego działania monitoringu. Może to zaburzyć analizę wydajności i bezpieczeństwa.
Rekomendacja
Zaktualizuj APM Server do wersji zawierającej poprawkę. Do czasu aktualizacji monitoruj konfiguracje agentów pod kątem nieoczekiwanych ustawień.
Inne podatności w APM Server
Zobacz wszystkie- CVE-2026-115716Średnie
APM Server ma podatność CWE-770 (alokacja zasobów bez limitów) umożliwiającą atak typu denial of service poprzez nadmiernie duże serializowane ładunki danych. Atakujący mogący wysyłać dane OpenTelemetry (OTLP) przez HTTP może spowodować wyczerpanie pamięci i zakończenie działania serwera.
- CVE-2026-78594Średnie
Nieprawidłowe obsługiwanie wysoko skompresowanych danych w APM Server może prowadzić do trwałej odmowy usługi. Uwierzytelniony użytkownik z prawem zapisu do treści source map może przechowywać specjalnie spreparowaną, wysoko skompresowaną treść, która podczas późniejszego przetwarzania wyczerpuje pamięć APM Server, powodując zakończenie procesu. Stan powtarza się po każdym restarcie, dopóki treść nie zostanie usunięta.
Oryginalny opis (angielski, źródło NVD)
Use of Multiple Resources with Duplicate Identifier (CWE-694) in APM Server can lead to information disclosure via a specially crafted agent configuration request. An authenticated APM agent could receive the central agent configuration that belongs to a different service until the cached configuration expires. A service could also run with central configuration settings, such as sampling settings, that were meant for a different service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS