CVE-2026-75627
KrytyczneCVSS 9.8Streszczenie
Bastillion nieprawidłowo waliduje ścieżki URI w swoim kontrolerze, co pozwala nieuwierzytelnionym atakującym ominąć filtry uwierzytelniania przez dodanie dowolnych segmentów ścieżki. Atakujący mogą uzyskać dostęp do kontrolerów administracyjnych, aby odczytać listy użytkowników, tworzyć konta menedżerów i rejestrować zarządzane systemy, przejmując kontrolę nad dostępem SSH do zarządzanej floty.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do panelu administracyjnego, co może prowadzić do przejęcia kontroli nad infrastrukturą SSH i naruszenia poufności oraz integralności zarządzanych systemów.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Bastillion do wersji zawierającej poprawkę oraz wdrożenie dodatkowych mechanizmów walidacji ścieżek URI na poziomie serwera.
Oryginalny opis (angielski, źródło NVD)
Bastillion fails to properly validate request URI paths in its controller dispatcher, allowing unauthenticated attackers to bypass authentication filters by prefixing requests with arbitrary path segments. Attackers can access administrative controllers to read user listings, create manager accounts, and register managed systems, gaining control over SSH access to the managed fleet.