CVE-2026-45021
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Kuma przed wersjami 2.7.25, 2.9.15, 2.11.13, 2.12.10 i 2.13.5 ma domyślną konfigurację kuma-cp, która ujawnia token bootstrap administratora i klucze podpisujące dowolnej stronie internetowej odwiedzanej przez operatora, gdy płaszczyzna kontroli jest osiągalna z przeglądarki. Ustawienia CorsAllowedDomains: [".*"] odzwierciedlają dowolne Origin, a LocalhostIsAdmin: true promuje żądania z 127.0.0.1 do mesh-system:admin.
Ocena ryzyka
Złośliwa strona internetowa może wykonać żądanie cross-origin i uzyskać token JWT administratora oraz materiały podpisujące, co prowadzi do pełnego przejęcia płaszczyzny kontroli. Ryzyko jest wysokie, ponieważ wymaga jedynie odwiedzenia strony przez operatora.
Rekomendacja
Zaktualizuj Kuma do wersji 2.7.25, 2.9.15, 2.11.13, 2.12.10 lub 2.13.5 (lub nowszej). Zmień domyślne ustawienia CorsAllowedDomains i LocalhostIsAdmin na restrykcyjne.
Inne podatności w Kuma
Zobacz wszystkie- CVE-2026-52724Średnie
W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 połączenia kuma-dp w trybie Universal do płaszczyzny kontrolnej HTTPS wyłączają weryfikację peera TLS, gdy nie podano --ca-cert-file i nie ustawiono KUMA_CONTROL_PLANE_CA_CERT. Token uwierzytelniający dataplane jest wysyłany przez niezweryfikowane połączenie, co pozwala atakującemu w ścieżce sieci przechwycić token, podszyć się pod płaszczyznę kontrolną, wstrzyknąć sfałszowaną konfigurację bootstrap i przejąć proxy.
- CVE-2026-50166Średnie
W Kuma przed wersjami 2.7.26, 2.9.16, 2.11.14, 2.12.11 i 2.13.7 profil kumactl ręcznie skonfigurowany dla płaszczyzny kontrolnej HTTPS bez --ca-cert-file wyłącza weryfikację peera TLS i wysyła tokeny API przez niezweryfikowane połączenie. Atakujący w ścieżce sieci może przechwycić tokeny API użytkownika lub administratora i działać wobec płaszczyzny kontrolnej jako ten użytkownik.
- CVE-2026-18679Średnie
Gdy kuma-dp jest uruchamiany wobec płaszczyzny sterowania HTTPS bez podania certyfikatu CA, połączenie jest nawiązywane z wyłączoną weryfikacją TLS, a token uwierzytelniający dataplane jest wysyłany przez to niezweryfikowane połączenie.
- CVE-2026-18678Średnie
Gdy operator dodaje profil płaszczyzny sterowania HTTPS do kumactl bez podania certyfikatu CA, kumactl wyłącza weryfikację TLS i wysyła tokeny API przez niezweryfikowane połączenie.
- CVE-2026-18675Średnie
Walidator tokenów dataplane w kuma-cp wykonuje niesprawdzoną asercję typu Go na nagłówku kid w JWT. Token z kid będącym liczbą JSON jest dekodowany jako float64 i powoduje panikę w czasie wykonania przed jakąkolwiek weryfikacją podpisu, roszczeń lub autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Kuma is a modern Envoy-based service mesh that can run on every cloud across both Kubernetes and VMs. Prior to 2.7.25, 2.9.15, 2.11.13, 2.12.10, and 2.13.5, the default kuma-cp config leaks the admin bootstrap token and signing keys to any webpage the operator visits while the control plane is reachable from their browser. CorsAllowedDomains: [".*"] reflects any Origin, and LocalhostIsAdmin: true promotes requests from 127.0.0.1 to mesh-system:admin. A cross-origin fetch() from a malicious page returns the admin JWT and signing material. This vulnerability is fixed in 2.7.25, 2.9.15, 2.11.13, 2.12.10, and 2.13.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS