CVE-2026-81664
ŚrednieCVSS 5.3Streszczenie
Brama OpenFaaS rejestruje GET /system/telemetry w gateway/main.go i, gdy włączone jest basic_auth, opakowuje każdy administracyjny handler /system/* w auth.DecorateWithBasicAuth. TelemetryHandler został pominięty w tym bloku od wersji 0.27.11, która wprowadziła trasę, do 0.27.14, która go dodała. Na dotkniętej bramie trasa dociera do proxy przekazującego bez sprawdzenia poświadczeń i zwraca to, co skonfigurowany dostawca serwuje dla /system/telemetry, więc każdy klient, który może dotrzeć do portu bramy, może odczytać telemetrię dostawcy niezależnie od ustawienia basic_auth. Ujawniona treść zależy od dostawcy i obejmuje metryki zasobów i wywołań dla faasd oraz stan podów lub klastra dla faas-netes.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym ujawnieniu danych telemetrycznych, które mogą zawierać wrażliwe informacje o infrastrukturze, takie jak metryki wydajności i stan klastra, co może pomóc atakującemu w dalszych atakach.
Rekomendacja
Zaleca się aktualizację OpenFaaS do wersji 0.27.14 lub nowszej, która dodaje sprawdzanie uwierzytelniania dla trasy /system/telemetry, oraz ograniczenie dostępu do portu bramy.
Oryginalny opis (angielski, źródło NVD)
The OpenFaaS gateway registers GET /system/telemetry in gateway/main.go and, when basic_auth is enabled, wraps each administrative /system/* handler in auth.DecorateWithBasicAuth. TelemetryHandler was left out of that wrap block from 0.27.11, which introduced the route, until 0.27.14, which added it. On an affected gateway the route therefore reaches the forwarding proxy with no credential check and returns whatever the configured provider serves for /system/telemetry, so any client that can reach the gateway port can read the provider's telemetry regardless of the basic_auth setting. The exposed content depends on the provider, and covers resource and invocation metrics for faasd and pod or cluster state for faas-netes.