CVE-2026-59955
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Apollo ConfigService przed wersją 2.5.2 może zezwalać na nieautoryzowany dostęp do surowych danych konfiguracyjnych, gdy włączone jest uwierzytelnianie AccessKey lub kluczem zarządzania. Problem wynika z błędnego parsowania ścieżki żądania /configfiles/raw/{appId}/{clusterName}/{namespace}, gdzie identyfikator aplikacji jest odczytywany jako 'raw' zamiast rzeczywistej wartości z URL, co prowadzi do pominięcia weryfikacji podpisu dla docelowej aplikacji.
Ocena ryzyka
Organizacja naraża się na wyciek poufnych danych konfiguracyjnych, które mogą być odczytane przez nieuprawnione podmioty, co może prowadzić do naruszenia bezpieczeństwa systemów i aplikacji korzystających z Apollo.
Rekomendacja
Należy niezwłocznie zaktualizować Apollo ConfigService do wersji 2.5.2 lub nowszej, która zawiera poprawkę eliminującą podatność na nieautoryzowany dostęp do surowych danych konfiguracyjnych.
Inne podatności w Apollo
Zobacz wszystkie- CVE-2026-59954Wysokie
Apollo ConfigService przed wersją 2.5.2 umożliwia nieautoryzowany dostęp do danych konfiguracyjnych, gdy włączone jest uwierzytelnianie AccessKey lub kluczem zarządzania. Problem wynika z akceptacji niekanonicznych wariantów appId (np. z akcentami lub spacjami) podczas uwierzytelniania, które są następnie rozwiązywane do chronionego appId w endpointach /configs i /configfiles.
- CVE-2025-32781Średnie
W systemie Apollo Portal przed wersją 2.5.0 wykryto podatność polegającą na braku weryfikacji uprawnień do aplikacji i przestrzeni nazw podczas pobierania wydania po jego identyfikatorze. Uwierzytelniony użytkownik o niskich uprawnieniach może odczytać dane konfiguracyjne z innych aplikacji, jeśli zna lub odgadnie poprawny releaseId, z pominięciem mechanizmu UserPermissionValidator.shouldHideConfigToCurrentUser(...).
Oryginalny opis (angielski, źródło NVD)
Apollo is a reliable configuration management system suitable for microservice configuration management scenarios. Prior to 2.5.2, Apollo ConfigService may allow unauthorized access to raw configuration data when AccessKey or management key authentication is enabled because requests under /configfiles/raw/{appId}/{clusterName}/{namespace} are parsed for authentication as appId raw instead of the actual path appId, causing ConfigService to look up AccessKey secrets for raw before verifying the request signature and potentially continue without signature verification for the target appId. This issue is fixed in version 2.5.2.