CVE-2026-59954
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Apollo ConfigService przed wersją 2.5.2 umożliwia nieautoryzowany dostęp do danych konfiguracyjnych, gdy włączone jest uwierzytelnianie AccessKey lub kluczem zarządzania. Problem wynika z akceptacji niekanonicznych wariantów appId (np. z akcentami lub spacjami) podczas uwierzytelniania, które są następnie rozwiązywane do chronionego appId w endpointach /configs i /configfiles.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych konfiguracyjnych, co może prowadzić do naruszenia bezpieczeństwa systemów mikroserwisowych i nieautoryzowanego dostępu do wrażliwych informacji.
Rekomendacja
Należy niezwłocznie zaktualizować Apollo do wersji 2.5.2 lub nowszej, która zawiera poprawkę eliminującą podatność na nieautoryzowany dostęp.
Inne podatności w Apollo
Zobacz wszystkie- CVE-2026-59955Wysokie
Apollo ConfigService przed wersją 2.5.2 może zezwalać na nieautoryzowany dostęp do surowych danych konfiguracyjnych, gdy włączone jest uwierzytelnianie AccessKey lub kluczem zarządzania. Problem wynika z błędnego parsowania ścieżki żądania /configfiles/raw/{appId}/{clusterName}/{namespace}, gdzie identyfikator aplikacji jest odczytywany jako 'raw' zamiast rzeczywistej wartości z URL, co prowadzi do pominięcia weryfikacji podpisu dla docelowej aplikacji.
- CVE-2025-32781Średnie
W systemie Apollo Portal przed wersją 2.5.0 wykryto podatność polegającą na braku weryfikacji uprawnień do aplikacji i przestrzeni nazw podczas pobierania wydania po jego identyfikatorze. Uwierzytelniony użytkownik o niskich uprawnieniach może odczytać dane konfiguracyjne z innych aplikacji, jeśli zna lub odgadnie poprawny releaseId, z pominięciem mechanizmu UserPermissionValidator.shouldHideConfigToCurrentUser(...).
Oryginalny opis (angielski, źródło NVD)
Apollo is a reliable configuration management system suitable for microservice configuration management scenarios. Prior to 2.5.2, Apollo ConfigService may allow unauthorized access to configuration data when AccessKey or management key authentication is enabled because ConfigService can accept a non-canonical appId variant during authentication while downstream request handling resolves it to the protected app, including accent variants under accent-insensitive collations or trailing-space variants under PAD SPACE collations on /configs and /configfiles endpoints. This issue is fixed in version 2.5.2.