CVE-2026-39910
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność w STACKIT IaaS API (brak autoryzacji) pozwala uwierzytelnionemu atakującemu z niskimi uprawnieniami na eskalację do pełnej kompromitacji organizacji poprzez dołączanie kont serwisowych do maszyn wirtualnych.
Ocena ryzyka
Atakujący może uzyskać tokeny OAuth2 i przejąć kontrolę nad całym środowiskiem organizacji, omijając granice dzierżawców.
Rekomendacja
Zastosuj poprawkę od STACKIT i ogranicz dostęp do endpointu PUT servers service-accounts.
Oryginalny opis (angielski, źródło NVD)
STACKIT IaaS API contains a missing authorization check vulnerability that allows authenticated, low-privileged attackers to escalate privileges to full organization compromise by attaching arbitrary service accounts to virtual machines they control. Attackers can exploit the unvalidated PUT servers service-accounts endpoint to attach high-privileged service accounts and query the Instance Metadata Service to retrieve OAuth2 tokens, bypassing tenant boundaries and gaining unauthorized control over the entire organization environment.