CVE-2026-55882
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Tilt HUD serwer montuje nieautoryzowane handlery pprof pod ścieżką /debug, co pozwala nieuwierzytelnionemu atakującemu na odczyt pamięci procesu (w tym tokenów sesji i API) oraz degradację wydajności. Podatność dotyczy wersji od 0.19.5 do 0.37.3.
Ocena ryzyka
Ryzyko obejmuje wyciek wrażliwych danych uwierzytelniających (tokeny sesji i API) oraz potencjalną degradację wydajności systemu, co może prowadzić do nieautoryzowanego dostępu do klastra Kubernetes i przerw w działaniu aplikacji.
Rekomendacja
Należy natychmiast zaktualizować Tilt do wersji 0.37.4 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp sieciowy do interfejsu HUD i apiserver tylko do zaufanych sieci.
Inne podatności w Tilt
Zobacz wszystkie- CVE-2026-55884Krytyczne
Tilt HUD HTTP serwer w wersjach od 0.20.8 do 0.37.3 rejestruje procedury obsługi na routerze gorilla/mux bez uwierzytelniania. Gdy HUD jest powiązany z adresem innym niż loopback, nieuwierzytelniony atakujący sieciowo może wywoływać zasoby zdefiniowane przez programistę, manipulować argumentami Tiltfile, odczytywać pełny stan silnika (w tym token sesji) oraz wywoływać zasoby apiserver przez handler /proxy dołączający token.
- CVE-2026-55883Wysokie
Podatność w Tilt od wersji 0.24.0 do 0.37.3 umożliwia atakującemu dostęp do strumienia widoku HUD przez WebSocket, pomimo zabezpieczenia CSRF. Token CSRF jest serwowany przez nieuwierzytelniony endpoint, a serwer akceptuje połączenia bez nagłówka Origin, co pozwala na przejęcie danych sesji, plików Tiltfile i statusów zasobów.
Oryginalny opis (angielski, źródło NVD)
Tilt defines dev environments as code for microservice apps on Kubernetes. From 0.19.5 through 0.37.3, the Tilt HUD server mounts Go net/http/pprof handlers under /debug with no access control. When the HUD or apiserver listener is network-exposed, an unauthenticated caller can read process memory through /debug/pprof/heap and /debug/pprof/goroutine, including session and apiserver tokens, and degrade performance through /debug/pprof/profile or /debug/pprof/trace. This issue is fixed in version 0.37.4.