CVE-2026-18676
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Domyślna konfiguracja kuma-cp w Kong Mesh ujawnia token bootstrap administratora i klucze podpisujące każdej stronie internetowej, którą operator odwiedza, gdy płaszczyzna sterowania jest osiągalna z przeglądarki. Z powodu błędnej konfiguracji CORS, złośliwa strona może wykonać fetch() i uzyskać admin JWT oraz materiały podpisujące.
Ocena ryzyka
Atakujący może przejąć token administratora i klucze podpisujące, co może prowadzić do pełnej kompromitacji płaszczyzny sterowania.
Rekomendacja
Zaleca się zmianę domyślnej konfiguracji CORS i ograniczenie dostępu do płaszczyzny sterowania z przeglądarki.
Inne podatności w Kong Mesh
Zobacz wszystkie- CVE-2026-18674Wysokie
W globalnym panelu sterowania Kong Mesh, zasoby otrzymywane przez synchronizację KDS między strefami są przypisywane na podstawie identyfikatora ControlPlane.Identifier kontrolowanego przez nadawcę, a nie uwierzytelnionej tożsamości strefy pochodzącej z połączenia. Uwierzytelnione strefy mogą spowodować, że globalny panel sterowania będzie przechowywać i redystrybuować te zasoby jako należące do innej strefy. Skutkuje to obejściem izolacji między strefami: posiadacz poświadczeń jednej zarejestrowanej strefy może wstrzykiwać, przypisywać i nadpisywać zasoby w przestrzeni nazw innej strefy w całym mesh. Przyczyną jest kod synchronizacji KDS w Kuma, na którym zbudowany jest panel sterowania Kong Mesh.
- CVE-2026-18677Średnie
W Kong Mesh działającym w trybie uniwersalnym z MeshIdentity, którego szablon ścieżki SPIFFE ID pochodzi z etykiety kuma.io/workload dataplane, autoryzator XDS w kuma-cp waliduje tę etykietę tylko wtedy, gdy token dataplane jest powiązany z obciążeniem. Powiązanie z obciążeniem jest opcjonalne, więc dataplane z tokenem powiązanym z tagami może zarejestrować się z dowolną wartością kuma.io/workload i uzyskać tożsamość SPIFFE innego obciążenia.
Oryginalny opis (angielski, źródło NVD)
The default kuma-cp configuration in Kong Mesh reveals the admin bootstrap token and signing keys to any webpage the operator visits while the control plane is reachable from their browser. Due to a CORS misconfiguration a cross-origin fetch() from a malicious page returns the admin JWT and signing material.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS