CVE-2026-73841
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
OpenChoreo przed wersjami 1.1.6 i 1.2.3 autoryzuje operacje component:exec i wirelogs:view przy użyciu parametru projektu dostarczonego przez wywołującego zamiast właściwego właściciela projektu z komponentu. Pozwala to użytkownikowi z uprawnieniami ograniczonymi do projektu na wykonywanie poleceń i odczyt logów w komponentach należących do innych projektów w tej samej przestrzeni nazw.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do komponentów i logów innych projektów, co może prowadzić do naruszenia izolacji między projektami i wycieku danych.
Rekomendacja
Zaleca się aktualizację OpenChoreo do wersji 1.1.6 lub 1.2.3 oraz weryfikację konfiguracji uprawnień.
Inne podatności w OpenChoreo
Zobacz wszystkie- CVE-2026-73843Krytyczne
OpenChoreo przed wersjami 1.0.2 i 1.1.2 udostępniało API zarządzania na zewnętrznym listenerze agenta bez uwierzytelniania, umożliwiając atakującym dostęp do /api/proxy/ i /api/exec/, proxy do API Kubernetes oraz wykonywanie poleceń w podach w klastrach wieloklastrowych.
- CVE-2026-73842Krytyczne
OpenChoreo przed wersjami 1.0.3, 1.1.3 i 1.2.0-rc.2 udostępniało /api/proxy/, /api/exec/ i /api/wirelogs/ na wewnętrznym listenerze bez wymogu certyfikatu klienta lub tokena, umożliwiając każdemu dostęp do sekretów Kubernetes, modyfikację obciążeń i wykonywanie poleceń w podłączonych płaszczyznach danych.
- CVE-2026-73840Średnie
OpenChoreo przed wersjami 1.0.3, 1.1.3 i 1.2.0-rc.2 ma podatność w endpointcie POST /api/v1alpha1/autobuild. Wybór dostawcy webhooka opiera się na kontrolowanym przez atakującego nagłówku X-Event-Key, a żądania Bitbucket są akceptowane bez weryfikacji HMAC-SHA256. Pozwala to na nieuwierzytelnione wyzwalanie buildów dla komponentów dopasowanych po URL repozytorium i gałęzi, w tym ataki między dostawcami z użyciem podanych przez atakującego SHA commitów.
- CVE-2026-73667Wysokie
OpenChoreo przed wersjami 1.0.4, 1.1.4 i 1.2.0-rc.2 ma podatność w szablonach Workflow Plane, gdzie parametry kontrolowane przez programistę są interpolowane do kodu powłoki wykonywanego przez sh -c zamiast przekazywane przez container.env. Umożliwia to wykonanie dowolnych komend w podach workflow, a dotknięte szablony Podman nie miały hostUsers: false.
- CVE-2026-73666Wysokie
OpenChoreo przed wersjami 1.0.4, 1.1.4 i 1.2.1 ma podatność w backendzie Backstage, gdzie twardo zakodowano wyłączenie domyślnej polityki uwierzytelniania i zezwolono na dostęp gości poza środowiskiem deweloperskim. Skutkuje to brakiem uwierzytelnienia dla /api/*, umożliwiając nieuwierzytelniony odczyt katalogów, logów scaffolder oraz tworzenie lub usuwanie lokalizacji katalogów.
Oryginalny opis (angielski, źródło NVD)
OpenChoreo is a complete, open-source developer platform for Kubernetes. Prior to 1.1.6 and 1.2.3, internal/openchoreo-api/api/handlers/exec.go and internal/openchoreo-api/api/handlers/wirelogs.go authorize component:exec and wirelogs:view using the caller-supplied project query parameter instead of comp.Spec.Owner.ProjectName, allowing a user with a project-scoped grant to execute commands in and read wirelogs from components owned by other projects in the same namespace. This vulnerability is fixed in 1.1.6 and 1.2.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS