CVE-2026-86671

WysokieCVSS 8.4

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

W Eclipse Che w wersjach 7.29.0 i późniejszych, endpointy GET `/api/scm/resolve` i POST `/api/factory/resolver` przekazują kontrolowany przez atakującego URL do `URLFetcher.fetch()`, który wywołuje `new URL(url).openConnection()` bez listy dozwolonych schematów lub hostów i zwraca treść odpowiedzi do wywołującego. Każdy uwierzytelniony użytkownik Che może czytać dowolne pliki lokalne (w tym token konta usługowego Kubernetes), uzyskiwać dostęp do wewnętrznych usług HTTP i endpointów metadanych chmury, a także przekazywać swoje przechowywane tokeny SCM jako nagłówek Authorization do wybranego hosta. To samo zachowanie występuje, gdy ofiara otwiera przestrzeń roboczą ze złośliwego devfile, którego `parent.uri` wskazuje na serwer kontrolowany przez atakującego, co umożliwia eksfiltrację tokenu PAT ofiary bez bezpośredniego dostępu do API. Brak dostępnej poprawki.

Ocena ryzyka

Podatność umożliwia uwierzytelnionemu użytkownikowi odczyt wrażliwych plików, dostęp do wewnętrznych zasobów oraz kradzież tokenów dostępu, co może prowadzić do pełnego naruszenia bezpieczeństwa środowiska Che i powiązanych systemów.

Rekomendacja

Ogranicz dostęp do endpointów podatnych na podatność, monitoruj aktywność użytkowników i rozważ zastosowanie tymczasowych zabezpieczeń, takich jak filtry sieciowe, do czasu wydania oficjalnej poprawki.

Inne podatności w Eclipse Che

CVE-2026-86590Średnie
W Eclipse Che w wersjach od 7.79.0 do 7.121.0, endpoint POST /dashboard/api/data/resolver w backendzie dashboardu przekazuje adres URL dostarczony przez użytkownika bezpośrednio do wychodzącego żądania HTTP GET bez filtrowania hosta. Uwierzytelniony użytkownik może wykorzystać tę podatność SSRF do odczytu odpowiedzi z wewnętrznych adresów sieciowych, w tym z usługi metadanych instancji chmury (169.254.169.254), interfejsów loopback, prywatnych zakresów RFC-1918 oraz usług Kubernetes w klastrze. Lista dozwolonych skonfigurowana przez operatora (spec.devEnvironments.allowedSources.urls) nie jest uwzględniana. Podatność jest naprawiona w wersji 7.122.0, która dodaje blokowanie adresów prywatnych, zapobieganie obejściu przez IPv4-mapped IPv6, egzekwowanie listy dozwolonych operatora oraz wyłącza przekierowania HTTP w żądaniu wychodzącym.

Oryginalny opis (angielski, źródło NVD)

In Eclipse Che versions 7.29.0 and later, the GET `/api/scm/resolve` and `POST /api/factory/resolver` endpoints pass an attacker-controlled URL to `URLFetcher.fetch()`, which calls `new URL(url).openConnection()` with no scheme or host allow-list and returns the response body to the caller. Any authenticated Che user can read arbitrary local files via the file:// scheme (including the pod's Kubernetes service-account token at `file:///var/run/secrets/kubernetes.io/serviceaccount/token`), reach internal HTTP services and cloud instance metadata endpoints (169.254.169.254), and have their stored SCM personal access token attached as an `Authorization` header to a host of their choosing. The same credential-forwarding behavior also fires when a victim opens a workspace from a malicious devfile whose `parent.uri` points to an attacker-controlled server, enabling exfiltration of the victim's SCM PAT without direct API access. No fix is available.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS