CVE-2026-91048
NieznaneStreszczenie
Podatność w Apache Karaf dotyczy braku pliku konfiguracyjnego ACL dla komend jdbc i jms, co powoduje, że każda uwierzytelniona sesja powłoki (nawet z rolą viewer) może wykonywać wszystkie komendy jdbc:* i jms:*. Komenda jdbc:ds-create pozwala na zapisanie dowolnego adresu URL JDBC, co może prowadzić do wykonania kodu na poziomie połączenia, omijając bramę roli admina.
Ocena ryzyka
Organizacja może być narażona na eskalację uprawnień i zdalne wykonanie kodu przez użytkowników z niskimi uprawnieniami. Może to prowadzić do pełnej kompromitacji systemu Karaf i powiązanych zasobów.
Rekomendacja
Zaleca się natychmiastowe skonfigurowanie reguł ACL dla komend jdbc:* i jms:* oraz aktualizację Apache Karaf do wersji zawierającej poprawkę zabezpieczającą.
Inne podatności w Apache Karaf
Zobacz wszystkie- CVE-2026-92142Nieznane
Apache Karaf posiada podatność w zabezpieczeniach JMX MBeanServer, gdzie operacje createMBean, registerMBean i unregisterMBean nie są objęte kontrolą RBAC. Pozwala to użytkownikowi z rolą 'viewer' na zdalne wykonanie kodu w JVM Karaf, wykorzystując MLet jako zdalny classloader.
- CVE-2026-91085Nieznane
Apache Karaf posiada lukę w kontroli dostępu do polecenia config:install, które nie zostało objęte regułą ACL i jest dostępne dla każdego uwierzytelnionego użytkownika, nawet z rolą viewer. Polecenie pobiera plik z dowolnego URL i zapisuje go do katalogu karaf.etc, gdzie znajdują się pliki bezpieczeństwa (users.properties, keys.properties, host.key, pliki ACL). Z opcją --override można nadpisać istniejące pliki, a Felix FileInstall automatycznie przeładuje zmienione pliki .cfg bez restartu.
- CVE-2026-91012Nieznane
Podatność w Apache Karaf pozwala użytkownikowi z rolą "manager" na zapis dowolnej treści do dowolnego pliku, do którego proces Karaf ma prawa zapisu. Dzieje się tak przez ominięcie kontroli ścieżek w ConfigRepositoryImpl.update() i createFactoryConfiguration(), gdzie wartość felix.fileinstall.filename lub PID z segmentami ".." może wskazywać poza katalog ${karaf.etc}.
- CVE-2026-91006Nieznane
Usługa zarządzania instancjami Apache Karaf (InstanceServiceImpl) tworzy polecenie uruchamiające podrzędną maszynę JVM przez konkatenację ciągów, a następnie wykonuje je przez /bin/sh lub cscript. Wartość javaOpts dostarczona przez wywołującego jest wstawiana do tego ciągu bez cudzysłowów, co pozwala na interpretację znaków specjalnych powłoki (;, |, `, $(...)) i wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami użytkownika procesu Karaf.
- CVE-2026-92230Wysokie
Apache Karaf przechowuje w statycznych polach ThreadLocal fabryki parserów i transformerów XML na długo żyjących wątkach kontenera. Ponieważ wartość ThreadLocal żyje dłużej niż tworzący ją bundle OSGi, powtarzane operacje instalacji, aktualizacji lub odświeżania bundle'a mogą powodować przypięcie kolejnych ClassLoaderów bundle'a w pamięci i uniemożliwienie ich usunięcia przez garbage collector, prowadząc do nieograniczonego wzrostu Metaspace i ostatecznie do odmowy usługi (DoS) instancji Karaf.
Oryginalny opis (angielski, źródło NVD)
The jdbc shell command scope shipped no org.apache.karaf.command.acl.jdbc.cfg. Karaf's command guard (SecuredSessionFactoryImpl) treats a command with no matching ACL rule as allowed, so any authenticated shell session (including one holding only the viewer role) could run every jdbc:* command. jdbc:ds-create stores a fully attacker-controlled JDBC URL into a pax-jdbc-config factory Configuration with no validation. pax-jdbc-config reactively turns that into a live DataSource. Several JDBC drivers run code or SQL at connection time based on URL parameters (e.g. H2 INIT=RUNSCRIPT), so a viewer-level shell user could reach arbitrary code execution, bypassing the admin-role gate that already protects shell:exec. This is a privilege-escalation-to-RCE chain, not merely an "admin misconfiguration". The same applies to jms:* shell commands.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS