CVE-2026-49478
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Fulcio, urząd certyfikacji do wydawania certyfikatów podpisywania kodu dla tożsamości OIDC, w wersjach do 1.8.5 niewłaściwie podąża za przekierowaniami między hostami i dołącza tokeny ServiceAccount Kubernetes podczas wykrywania OIDC, co pozwala złośliwemu lub skompromitowanemu wystawcy na przeprowadzenie ślepego SSRF, podstawienie i buforowanie złośliwych kluczy JWKS lub ujawnienie tokenów ServiceAccount zewnętrznym hostom.
Ocena ryzyka
Ryzyko ujawnienia tokenów ServiceAccount, przeprowadzenia ataków SSRF oraz podstawienia kluczy JWKS, co może prowadzić do naruszenia integralności systemu i nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj Fulcio do wersji 1.8.6 lub nowszej, która blokuje przekierowania między hostami, ogranicza wstrzykiwanie tokenów i ogranicza lokalne ładowanie tokenów.
Oryginalny opis (angielski, źródło NVD)
Fulcio is a certificate authority for issuing code signing certificates for an OpenID Connect (OIDC) identity. Versions through 1.8.5 improperly follow cross-host redirects and attach Kubernetes ServiceAccount tokens during OIDC discovery, allowing a malicious or compromised issuer to perform blind SSRF, substitute and cache malicious JWKS keys, or disclose ServiceAccount tokens to external hosts. Version 1.8.6 blocks cross-host redirects, restricts token injection, and restricts local token loading. No known workarounds are available.