CVE-2026-91012
NieznaneStreszczenie
Podatność w Apache Karaf pozwala użytkownikowi z rolą "manager" na zapis dowolnej treści do dowolnego pliku, do którego proces Karaf ma prawa zapisu. Dzieje się tak przez ominięcie kontroli ścieżek w ConfigRepositoryImpl.update() i createFactoryConfiguration(), gdzie wartość felix.fileinstall.filename lub PID z segmentami ".." może wskazywać poza katalog ${karaf.etc}.
Ocena ryzyka
Osoba z rolą manager może eskalować swoje uprawnienia do roli admin, modyfikując pliki takie jak etc/users.properties lub inne pliki ACL, co prowadzi do całkowitego przejęcia kontenera Karaf.
Rekomendacja
Zastosuj dostępne poprawki lub aktualizacje Apache Karaf, które usuwają tę podatność. Dodatkowo ogranicz zaufanie do użytkowników z rolą manager i monitoruj logi pod kątem nietypowych operacji zapisu konfiguracji.
Inne podatności w Apache Karaf
Zobacz wszystkie- CVE-2026-92142Nieznane
Apache Karaf posiada podatność w zabezpieczeniach JMX MBeanServer, gdzie operacje createMBean, registerMBean i unregisterMBean nie są objęte kontrolą RBAC. Pozwala to użytkownikowi z rolą 'viewer' na zdalne wykonanie kodu w JVM Karaf, wykorzystując MLet jako zdalny classloader.
- CVE-2026-91085Nieznane
Apache Karaf posiada lukę w kontroli dostępu do polecenia config:install, które nie zostało objęte regułą ACL i jest dostępne dla każdego uwierzytelnionego użytkownika, nawet z rolą viewer. Polecenie pobiera plik z dowolnego URL i zapisuje go do katalogu karaf.etc, gdzie znajdują się pliki bezpieczeństwa (users.properties, keys.properties, host.key, pliki ACL). Z opcją --override można nadpisać istniejące pliki, a Felix FileInstall automatycznie przeładuje zmienione pliki .cfg bez restartu.
- CVE-2026-91048Nieznane
Podatność w Apache Karaf dotyczy braku pliku konfiguracyjnego ACL dla komend jdbc i jms, co powoduje, że każda uwierzytelniona sesja powłoki (nawet z rolą viewer) może wykonywać wszystkie komendy jdbc:* i jms:*. Komenda jdbc:ds-create pozwala na zapisanie dowolnego adresu URL JDBC, co może prowadzić do wykonania kodu na poziomie połączenia, omijając bramę roli admina.
- CVE-2026-91006Nieznane
Usługa zarządzania instancjami Apache Karaf (InstanceServiceImpl) tworzy polecenie uruchamiające podrzędną maszynę JVM przez konkatenację ciągów, a następnie wykonuje je przez /bin/sh lub cscript. Wartość javaOpts dostarczona przez wywołującego jest wstawiana do tego ciągu bez cudzysłowów, co pozwala na interpretację znaków specjalnych powłoki (;, |, `, $(...)) i wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami użytkownika procesu Karaf.
- CVE-2026-92230Wysokie
Apache Karaf przechowuje w statycznych polach ThreadLocal fabryki parserów i transformerów XML na długo żyjących wątkach kontenera. Ponieważ wartość ThreadLocal żyje dłużej niż tworzący ją bundle OSGi, powtarzane operacje instalacji, aktualizacji lub odświeżania bundle'a mogą powodować przypięcie kolejnych ClassLoaderów bundle'a w pamięci i uniemożliwienie ich usunięcia przez garbage collector, prowadząc do nieograniczonego wzrostu Metaspace i ostatecznie do odmowy usługi (DoS) instancji Karaf.
Oryginalny opis (angielski, źródło NVD)
org.apache.karaf.config.core.impl.ConfigRepositoryImpl#update(pid, properties), which backs the "config" MBean and the config:* shell commands, derives the file it writes a configuration to from caller-supplied input without checking that the result stays inside ${karaf.etc}: * if the submitted property map contains a felix.fileinstall.filename entry, that value is turned directly into a File (getCfgFileFromProperty), so it can point to any absolute path the Karaf process can write to; * otherwise the configuration PID is concatenated verbatim into the target file name (generateConfigFilename(): new File(karaf.etc, pid + ".cfg")), so a PID containing ".." segments resolves outside ${karaf.etc}. createFactoryConfiguration() has the same issue via the factory PID/alias. Both code paths are reachable by any caller holding the "manager" role under Karaf's shipped command/JMX ACL (org.apache.karaf.command.acl.conf.cfg: "update = manager"). Such a user can therefore write attacker-controlled content to any file the Karaf process can write, including files the same ACL otherwise reserves to "admin" (etc/users.properties, etc/*.acl.*.cfg, etc/org.apache.karaf.management.cfg, and similar), allowing a manager-role user to grant themselves the admin role or otherwise take over the container. ConfigMBeanImpl.install() and the config:install shell command already guarded the equivalent risk on their own code path with a finalname.contains("..") string check, but that check does not stop absolute paths or symlink-based escapes, and it was never applied to ConfigRepositoryImpl.update() / createFactoryConfiguration() at all.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS