CVE-2026-84716
ŚrednieCVSS 6.6Streszczenie
W endpointcie install-bundle kontrolera automatyzacji (automation-controller) występuje błąd walidacji nazwy hosta. Administrator systemu może zarejestrować wariant wielkości liter istniejącej nazwy hosta węzła kontrolnego i uzyskać certyfikat X.509 podpisany przez CA mesha receptor, ważny dziesięć lat, bez dziennika wydania i listy odwołań. Ponieważ walidator znaków jest niewrażliwy na wielkość liter, a walidator unikalności jest wrażliwy, certyfikat jest akceptowany przez peery TLS jako certyfikat węzła kontrolnego.
Ocena ryzyka
W środowiskach zarządzanych, gdzie klient ma uprawnienia superużytkownika kontrolera, a operator platformy uruchamia mesh, atakujący z pozycją on-path może podszyć się pod węzły kontrolne lub przechwycić ich komunikację TLS. Poświadczenie jest długotrwałe i nieodwoływalne, co utrudnia jego unieważnienie.
Rekomendacja
Należy jak najszybciej zaktualizować automation-controller do wersji zawierającej poprawkę, a do czasu jej wdrożenia ograniczyć możliwość rejestrowania nazw hostów przez administratorów systemu oraz monitorować nietypowe certyfikaty mesha. Zaleca się także weryfikację, czy nie zarejestrowano wariantów wielkości liter istniejących nazw hostów.
Inne podatności w automation-controller
Zobacz wszystkie- CVE-2026-84713Średnie
W podsystemie powiadomień automation-controller występuje luka, w której wartość odbiorcy z NotificationTemplate.notification_configuration jest kopiowana jawnym tekstem do niezabezpieczonego pola Notification.recipients przy każdym wysłaniu. Ponieważ endpoint credential-types jest dostępny dla każdego uwierzytelnionego użytkownika, a backend filtrów API przechodzi przez relacje obiektów bez autoryzacji na każdym poziomie, użytkownik bez uprawnień może użyć filtra relacyjnego jako oracle'a typu boolean do odzyskania znak po znaku sekretnych wartości odbiorców powiadomień innych najemców, w tym kluczy usług PagerDuty oraz adresów URL z tokenami bearer dla Slack, Mattermost, RocketChat i Webhook. Luka wpływa na poufność.
- CVE-2026-84712Średnie
W API automation-controller nieuwierzytelniony endpoint health-check /api/v2/ping/ (ApiV2PingView, AllowAny) nadmiernie serializuje dane automation-mesh chronione przez RBAC do anonimowej odpowiedzi, ujawniając pełny inwentarz instancji (nazwy hostów węzłów, typy węzłów, UUID, heartbeaty, pojemności i dokładne wersje), wszystkie nazwy i członkostwo grup instancji, UUID instalacji wdrożenia oraz aktywny węzeł kontrolny. Zdalny, nieuwierzytelniony atakujący może to wykorzystać do mapowania płaszczyzny kontrolnej i fingerprintingu wersji oprogramowania w celu ukierunkowanych ataków. Luka wpływa wyłącznie na poufność; nie ujawnia sekretów, poświadczeń ani danych najemców.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the automation-controller instance install-bundle endpoint. When a System Administrator downloads an execution/hop node's install bundle, the controller signs an X.509 certificate with the receptor mesh certificate authority in which the Common Name, DNS subject-alternative-name, and receptor node-id are taken verbatim from the caller-chosen instance hostname, with a hard-coded ten-year validity, a random serial, and no issuance log or revocation list. Because the hostname charset validator is case-insensitive while the uniqueness validator is case-sensitive, an administrator can register a case variant of an existing control node's hostname and obtain a mesh-CA-signed certificate that TLS peers, which match hostnames case-insensitively, accept as that control node. In managed/hosted deployments — where the customer holds controller superuser but the platform operator runs the mesh — this yields a long-lived, non-revocable mesh peer credential and, with an on-path position, TLS impersonation or interception of control/hybrid mesh nodes. It does not grant direct remote code execution, because receptor work submission is gated by a separate signing key not included in the bundle.