CVE-2026-55884
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Tilt HUD HTTP serwer w wersjach od 0.20.8 do 0.37.3 rejestruje procedury obsługi na routerze gorilla/mux bez uwierzytelniania. Gdy HUD jest powiązany z adresem innym niż loopback, nieuwierzytelniony atakujący sieciowo może wywoływać zasoby zdefiniowane przez programistę, manipulować argumentami Tiltfile, odczytywać pełny stan silnika (w tym token sesji) oraz wywoływać zasoby apiserver przez handler /proxy dołączający token.
Ocena ryzyka
Organizacja naraża się na nieautoryzowany dostęp do środowisk deweloperskich Kubernetes, co może prowadzić do wycieku tokenów sesji, manipulacji konfiguracją oraz uruchamiania niepożądanych zasobów, zagrażając integralności i poufności aplikacji.
Rekomendacja
Należy natychmiast zaktualizować Tilt do wersji 0.37.4 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy skonfigurować HUD tak, aby nasłuchiwał wyłącznie na interfejsie loopback (127.0.0.1).
Oryginalny opis (angielski, źródło NVD)
Tilt defines dev environments as code for microservice apps on Kubernetes. From 0.20.8 through 0.37.3, the Tilt HUD HTTP server registers handlers on a gorilla/mux router with no authenticating middleware. When the HUD is bound to a non-loopback address, an unauthenticated network caller can trigger developer-defined resources, tamper with Tiltfile arguments, read full engine state including the session token, and invoke apiserver resources through the token-attaching /proxy handler. This issue is fixed in version 0.37.4.