CVE-2026-49478
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Fulcio, urząd certyfikacji do wydawania certyfikatów podpisywania kodu dla tożsamości OIDC, w wersjach do 1.8.5 niewłaściwie podąża za przekierowaniami między hostami i dołącza tokeny ServiceAccount Kubernetes podczas wykrywania OIDC, co pozwala złośliwemu lub skompromitowanemu wystawcy na przeprowadzenie ślepego SSRF, podstawienie i buforowanie złośliwych kluczy JWKS lub ujawnienie tokenów ServiceAccount zewnętrznym hostom.
Ocena ryzyka
Ryzyko ujawnienia tokenów ServiceAccount, przeprowadzenia ataków SSRF oraz podstawienia kluczy JWKS, co może prowadzić do naruszenia integralności systemu i nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj Fulcio do wersji 1.8.6 lub nowszej, która blokuje przekierowania między hostami, ogranicza wstrzykiwanie tokenów i ogranicza lokalne ładowanie tokenów.
Inne podatności w Fulcio
Zobacz wszystkie- CVE-2026-22772Średnie
Fulcio przed wersją 1.8.5 ma funkcję metaRegex() używającą niezabezpieczonego (niezakotwiczonego) wyrażenia regularnego, co pozwala obejść walidację URL MetaIssuer i wywołać SSRF do dowolnych usług wewnętrznych. SSRF może wywoływać tylko żądania GET, nie zmienia stanu, a odpowiedź nie jest zwracana, więc możliwy jest jedynie blind SSRF.
- CVE-2025-66506Wysokie
Fulcio przed wersją 1.8.3 zawiera podatność w funkcji identity.extractIssuerURL, która dzieli niezaufany argument po kropkach. Złośliwe żądanie z nieprawidłowym tokenem tożsamości OIDC zawierającym wiele kropek powoduje alokacje pamięci rzędu O(n) bajtów, gdzie n to długość argumentu, ze stałym współczynnikiem około 16.
Oryginalny opis (angielski, źródło NVD)
Fulcio is a certificate authority for issuing code signing certificates for an OpenID Connect (OIDC) identity. Versions through 1.8.5 improperly follow cross-host redirects and attach Kubernetes ServiceAccount tokens during OIDC discovery, allowing a malicious or compromised issuer to perform blind SSRF, substitute and cache malicious JWKS keys, or disclose ServiceAccount tokens to external hosts. Version 1.8.6 blocks cross-host redirects, restricts token injection, and restricts local token loading. No known workarounds are available.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS