CVE-2026-86590

ŚrednieCVSS 6.3

Opublikowano: 08/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 08/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

W Eclipse Che w wersjach od 7.79.0 do 7.121.0, endpoint POST /dashboard/api/data/resolver w backendzie dashboardu przekazuje adres URL dostarczony przez użytkownika bezpośrednio do wychodzącego żądania HTTP GET bez filtrowania hosta. Uwierzytelniony użytkownik może wykorzystać tę podatność SSRF do odczytu odpowiedzi z wewnętrznych adresów sieciowych, w tym z usługi metadanych instancji chmury (169.254.169.254), interfejsów loopback, prywatnych zakresów RFC-1918 oraz usług Kubernetes w klastrze. Lista dozwolonych skonfigurowana przez operatora (spec.devEnvironments.allowedSources.urls) nie jest uwzględniana. Podatność jest naprawiona w wersji 7.122.0, która dodaje blokowanie adresów prywatnych, zapobieganie obejściu przez IPv4-mapped IPv6, egzekwowanie listy dozwolonych operatora oraz wyłącza przekierowania HTTP w żądaniu wychodzącym.

Ocena ryzyka

Uwierzytelniony użytkownik może uzyskać dostęp do wewnętrznych zasobów sieciowych, w tym metadanych chmury, co może prowadzić do kradzieży poświadczeń i naruszenia bezpieczeństwa infrastruktury.

Rekomendacja

Zaktualizuj Eclipse Che do wersji 7.122.0 lub nowszej, która zawiera poprawki zabezpieczające przed SSRF.

Inne podatności w Eclipse Che

CVE-2026-86671Wysokie
W Eclipse Che w wersjach 7.29.0 i późniejszych, endpointy GET `/api/scm/resolve` i POST `/api/factory/resolver` przekazują kontrolowany przez atakującego URL do `URLFetcher.fetch()`, który wywołuje `new URL(url).openConnection()` bez listy dozwolonych schematów lub hostów i zwraca treść odpowiedzi do wywołującego. Każdy uwierzytelniony użytkownik Che może czytać dowolne pliki lokalne (w tym token konta usługowego Kubernetes), uzyskiwać dostęp do wewnętrznych usług HTTP i endpointów metadanych chmury, a także przekazywać swoje przechowywane tokeny SCM jako nagłówek Authorization do wybranego hosta. To samo zachowanie występuje, gdy ofiara otwiera przestrzeń roboczą ze złośliwego devfile, którego `parent.uri` wskazuje na serwer kontrolowany przez atakującego, co umożliwia eksfiltrację tokenu PAT ofiary bez bezpośredniego dostępu do API. Brak dostępnej poprawki.

Oryginalny opis (angielski, źródło NVD)

In Eclipse Che versions 7.79.0 through 7.121.0, the dashboard backend's POST /dashboard/api/data/resolver endpoint passes a caller-supplied URL directly to an outbound HTTP GET request with no host filtering. An authenticated user can exploit this server-side request forgery (SSRF) to read responses from internal network addresses, including the cloud instance metadata service (169.254.169.254), loopback interfaces, RFC-1918 private ranges, and in-cluster Kubernetes services. The operator-configured allowlist (spec.devEnvironments.allowedSources.urls) is not consulted. The vulnerability is fixed in version 7.122.0, which adds private-address blocking, IPv4-mapped IPv6 bypass prevention, operator allowlist enforcement, and disables HTTP redirects on the outbound request.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS