CVE-2026-18678

W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 połączenia kuma-dp w trybie Universal do płaszczyzny kontrolnej HTTPS wyłączają weryfikację peera TLS, gdy nie podano --ca-cert-file i nie ustawiono KUMA_CONTROL_PLANE_CA_CERT. Token uwierzytelniający dataplane jest wysyłany przez niezweryfikowane połączenie, co pozwala atakującemu w ścieżce sieci przechwycić token, podszyć się pod płaszczyznę kontrolną, wstrzyknąć sfałszowaną konfigurację bootstrap i przejąć proxy.

W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 profil kumactl ręcznie skonfigurowany dla płaszczyzny kontrolnej HTTPS bez --ca-cert-file wyłącza weryfikację peera TLS i wysyła tokeny API przez niezweryfikowane połączenie. Atakujący w ścieżce sieci może przechwycić tokeny API użytkownika lub administratora i działać wobec płaszczyzny kontrolnej jako ten użytkownik.

Gdy kuma-dp jest uruchamiany wobec płaszczyzny sterowania HTTPS bez podania certyfikatu CA, połączenie jest nawiązywane z wyłączoną weryfikacją TLS, a token uwierzytelniający dataplane jest wysyłany przez to niezweryfikowane połączenie.

Walidator tokenów dataplane w kuma-cp wykonuje niesprawdzoną asercję typu Go na nagłówku kid w JWT. Token z kid będącym liczbą JSON jest dekodowany jako float64 i powoduje panikę w czasie wykonania przed jakąkolwiek weryfikacją podpisu, roszczeń lub autoryzacji.