CVE-2026-84175
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Eclipse Ditto w wersjach od 3.0.0 do 3.9.6 usługa Things pobiera modele WoT (Web of Things) ThingModels przez HTTP z adresów URL dostarczanych przez użytkowników API w polu definicji Thing lub Feature, bez walidacji hosta docelowego, i podąża za przekierowaniami HTTP bez ponownej walidacji celu i bez limitu przeskoków. Uwierzytelniony użytkownik z uprawnieniem do tworzenia Thing lub z uprawnieniem WRITE na istniejącym Thing może spowodować, że usługa Things wyśle dowolne żądania HTTP GET z wnętrza sieci wdrożenia – w tym do punktów końcowych metadanych instancji chmury i innych usług wewnętrznych – oraz może wykorzystać różne odpowiedzi błędów do enumeracji usług wewnętrznych. Wersje 2.4.0 do 2.5.x zawierają ten sam kod, ale są podatne tylko wtedy, gdy operator jawnie włączył przełącznik integracji WoT, który jest domyślnie wyłączony w tych wersjach.
Ocena ryzyka
Uwierzytelniony użytkownik może wykorzystać usługę Things do skanowania sieci wewnętrznej, uzyskania dostępu do metadanych chmury lub innych wewnętrznych usług, co może prowadzić do eskalacji uprawnień lub wycieku danych.
Rekomendacja
Zaktualizuj Eclipse Ditto do wersji nowszej niż 3.9.6. Jeśli nie jest to możliwe, wyłącz integrację WoT lub ogranicz dostęp do tworzenia/edycji Thing dla zaufanych użytkowników.
Inne podatności w Eclipse Ditto
Zobacz wszystkie- CVE-2026-107503Wysokie
W Eclipse Ditto w wersjach 3.6.0 do 3.8.13 oraz 3.9.0 do 3.9.7 interfejs Ditto Explorer UI ładuje konfigurację środowiska, w tym URI API Ditto i ustawienia dostawcy OIDC, z dowolnego adresu URL podanego w parametrze environmentsURL. Złośliwy link może ustawić kontrolowaną przez atakującego władzę OIDC z włączonym autoSso, co prowadzi do kradzieży tokenów dostępu i odświeżania ofiary.
- CVE-2026-82958Wysokie
W Eclipse Ditto w wersjach od 1.3.0 do 3.9.6, komponent ImplicitThingCreationMessageMapper w usłudze connectivity wstrzykuje wartości z nagłówków wiadomości do szablonu JSON bez odpowiedniego escapowania, co pozwala na złamanie struktury JSON i wstrzyknięcie dodatkowych pól. Atakujący może kontrolować nagłówek (np. właściwość MQTT 5, AMQP 1.0 lub Kafka) i wstrzyknąć obiekt _policy, nadpisując skonfigurowaną politykę dostępu.
Oryginalny opis (angielski, źródło NVD)
In Eclipse Ditto versions 3.0.0 to 3.9.6, the Things service fetches WoT (Web of Things) ThingModels over HTTP from URLs supplied by API users in the definition field of a Thing or Feature, without validating the target host, and follows HTTP redirects without re-validating the redirect target and without a hop limit. An authenticated user who is permitted to create a Thing, or who holds WRITE permission on an existing Thing, can thereby cause the Things service to issue arbitrary HTTP GET requests from inside the deployment's network — including to cloud instance-metadata endpoints and other internal services — and can use the differing error responses returned to the caller to enumerate internal services. Versions 2.4.0 to 2.5.x contain the same code, but are only affected where the operator explicitly enabled the WoT integration feature toggle, which is disabled by default in those versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS