CVE-2026-73843

KrytyczneCVSS 9.6

Opublikowano: 13/08/2026(UTC)Przetłumaczono: 14/08/2026(UTC)NVD NIST

Streszczenie

OpenChoreo przed wersjami 1.0.2 i 1.1.2 udostępniało API zarządzania na zewnętrznym listenerze agenta bez uwierzytelniania, umożliwiając atakującym dostęp do /api/proxy/ i /api/exec/, proxy do API Kubernetes oraz wykonywanie poleceń w podach w klastrach wieloklastrowych.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać pełną kontrolę nad klastrami Kubernetes, co prowadzi do naruszenia poufności, integralności i dostępności danych.

Rekomendacja

Zaktualizuj OpenChoreo do wersji 1.0.2 lub 1.1.2, które zawierają poprawkę.

Oryginalny opis (angielski, źródło NVD)

OpenChoreo is a complete, open-source developer platform for Kubernetes. Prior to 1.0.2 and 1.1.2, internal/cluster-gateway/server.go served caller-facing management APIs on the externally reachable agent listener without authentication, allowing network-reachable attackers to invoke /api/proxy/ and /api/exec/ operations, proxy the data-plane Kubernetes API, and execute commands in workload pods in multi-cluster deployments. This issue is fixed in versions 1.0.2 and 1.1.2.