CVE-2026-81515
WysokieCVSS 7.5Streszczenie
Steeltoe w wersjach od 4.0.0 do 4.3.0 w EurekaDiscoveryClient deserializuje odpowiedź rejestru jako jedną całość, więc nierozpoznany actionType lub status, niebędące wartością logiczną isCoordinatingDiscoveryServer albo nienumeryczny timestamp mogą przerwać całą odpowiedź. Podmiot mogący zarejestrować lub zaktualizować instancję może spowodować, że wszystkie połączone klienty Steeltoe otrzymają pustą lub nieaktualną listę instancji.
Ocena ryzyka
Atakujący z możliwością rejestracji instancji w Eureka może wywołać awarię odkrywania usług u wszystkich klientów Steeltoe, powodując niedostępność usług do czasu usunięcia błędnej rejestracji. Ryzyko dotyczy ciągłości działania aplikacji chmurowych.
Rekomendacja
Zaktualizuj Steeltoe do wersji 4.3.0, która poprawia ścieżki parsowania JsonInstanceInfoConverter, BoolStringJsonConverter i LongStringJsonConverter.
Inne podatności w Steeltoe
Zobacz wszystkie- CVE-2026-81868Średnie
Steeltoe to projekt open source dostarczający zestaw bibliotek pomagających użytkownikom w budowaniu aplikacji natywnych dla chmury. Przed wersją 4.3.0, wdrożenia Steeltoe.Security.Authorization.Certificate korzystające z AddOrgAndSpacePolicies() i UseCertificateAuthorization() ufają publicznemu certyfikatowi dostarczonemu w nagłówku X-Client-Cert bez dowodu posiadania odpowiadającego klucza prywatnego. Typowe routery Cloud Foundry nie usuwają tego nagłówka z przychodzących żądań. Gdy przychodzące żądania nie są ograniczone do znanego zaufanego adresu IP proxy, atakujący, który uzyska publiczny certyfikat instancji aplikacji w docelowej organizacji lub przestrzeni i może dotrzeć do aplikacji, może sfałszować X-Client-Cert, aby ominąć polityki SameOrg i SameSpace na okres ważności certyfikatu. Problem został naprawiony w wersji 4.3.0.
- CVE-2026-81516Wysokie
Steeltoe w wersjach od 4.0.0 do 4.3.0 w ConsulDiscoveryClient tworzy obiekty ConsulServiceInstance, parsując metadane secure z rejestracji przy użyciu ścisłej konwersji logicznej. Podmiot mogący zarejestrować usługę w Consul może podać wartość inną niż true lub false, co powoduje wyjątek przerywający budowanie całej listy instancji i czyni docelową usługę niewykrywalną, a przy GetAllInstancesAsync może przerwać wyliczanie wszystkich usług.
- CVE-2026-75523Średnie
W bibliotece Steeltoe przed wersją 4.3.0 endpoint /actuator/httpexchanges maskuje jedynie informacje o użytkowniku w URI, ale nie sprawdza ciągów zapytań. Gdy włączona jest opcja IncludeQueryString, odpowiedź może ujawnić tokeny OAuth, tokeny resetowania hasła, sygnatury URL, klucze API i inne sekrety z wcześniejszego ruchu. Dodatkowo logger DEBUG tego endpointu również zapisuje te URI, tworząc drugi kanał wycieku.
Oryginalny opis (angielski, źródło NVD)
Steeltoe is an open source project that provides a collection of libraries that helps users build cloud-native applications. From 4.0.0 until 4.3.0, EurekaDiscoveryClient deserializes the registry response as one unit, and an unrecognized actionType or status, a non-Boolean isCoordinatingDiscoveryServer, or a nonnumeric timestamp can abort the entire response. A principal that can register or update an instance can cause all connected Steeltoe clients to receive an empty or stale instance list until the malformed registration is removed. The JsonInstanceInfoConverter, BoolStringJsonConverter, and LongStringJsonConverter parsing paths are affected. This issue is distinct from the earlier DataCenterInfo.name parsing vulnerability. This issue is fixed in version 4.3.0.