CVE-2026-62147
ŚrednieCVSS 6.5Streszczenie
Podatność w komponencie bramy Tempo Operatora powoduje niespójne stosowanie maskowania na poziomie przestrzeni nazw w odpowiedziach API zapytań, gdy włączone jest RBAC. Umożliwia to uwierzytelnionemu użytkownikowi odczytanie atrybutów span należących do innych dzierżawców.
Ocena ryzyka
Organizacja narażona jest na wyciek danych telemetrycznych między dzierżawcami, co może prowadzić do naruszenia poufności i izolacji danych w środowisku wielodostępnym.
Rekomendacja
Należy natychmiast zaktualizować Tempo Operatora do wersji, w której poprawiono maskowanie odpowiedzi API. Do czasu aktualizacji zaleca się ograniczenie dostępu do API zapytań tylko dla zaufanych użytkowników.
Inne podatności w Tempo Operator
Zobacz wszystkie- CVE-2025-2842Średnie
W Tempo Operator wykryto podatność, w której włączenie funkcji Jaeger UI Monitor Tab powoduje utworzenie ClusterRoleBinding dla konta serwisowego Tempo, nadając mu rolę cluster-monitoring-view. Użytkownik z uprawnieniami do tworzenia TempoStack i odczytu sekretów w przestrzeni nazw może odczytać token konta serwisowego i uzyskać dostęp do wszystkich metryk klastra.
- CVE-2025-2786Średnie
W Tempo Operator stwierdzono lukę, która podczas wdrażania instancji TempoStack lub TempoMonolithic tworzy ServiceAccount, ClusterRole i ClusterRoleBinding. Użytkownik z pełnym dostępem do swojej przestrzeni nazw może wyodrębnić token ServiceAccount i użyć go do wysyłania żądań TokenReview i SubjectAccessReview, potencjalnie ujawniając informacje o uprawnieniach innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Tempo Operator's gateway component failed to consistently apply namespace-scoped redaction on some query API response paths when query RBAC was enabled, allowing an authenticated user to read span attributes belonging to other tenants' namespaces.