CVE-2026-113727
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W OpenChoreo od wersji 1.0.0 do 1.0.6, 1.1.7 i 1.2.5 trasa aktualizacji PUT .../workflowruns/{runName} autoryzuje żądanie na podstawie etykiet projektu i komponentu w treści, a wybiera zapisany WorkflowRun po ścieżce URL. Uwierzytelniony użytkownik z uprawnieniem workflowrun:update może nadpisać etykiety własności innego uruchomienia w tej samej przestrzeni nazw, uzyskując dostęp do logów, zdarzeń, możliwość usunięcia lub modyfikacji parametrów.
Ocena ryzyka
Atakujący z ograniczonymi uprawnieniami może przejąć kontrolę nad uruchomieniami workflow innych projektów w tej samej przestrzeni nazw, naruszając integralność i poufność danych.
Rekomendacja
Zaktualizuj OpenChoreo do wersji 1.0.6, 1.1.7 lub 1.2.5 (lub nowszej) i ogranicz uprawnienia workflowrun:update do zaufanych użytkowników.
Inne podatności w OpenChoreo
Zobacz wszystkie- CVE-2026-73843Krytyczne
OpenChoreo przed wersjami 1.0.2 i 1.1.2 udostępniało API zarządzania na zewnętrznym listenerze agenta bez uwierzytelniania, umożliwiając atakującym dostęp do /api/proxy/ i /api/exec/, proxy do API Kubernetes oraz wykonywanie poleceń w podach w klastrach wieloklastrowych.
- CVE-2026-73842Krytyczne
OpenChoreo przed wersjami 1.0.3, 1.1.3 i 1.2.0-rc.2 udostępniało /api/proxy/, /api/exec/ i /api/wirelogs/ na wewnętrznym listenerze bez wymogu certyfikatu klienta lub tokena, umożliwiając każdemu dostęp do sekretów Kubernetes, modyfikację obciążeń i wykonywanie poleceń w podłączonych płaszczyznach danych.
- CVE-2026-73841Wysokie
OpenChoreo przed wersjami 1.1.6 i 1.2.3 autoryzuje operacje component:exec i wirelogs:view przy użyciu parametru projektu dostarczonego przez wywołującego zamiast właściwego właściciela projektu z komponentu. Pozwala to użytkownikowi z uprawnieniami ograniczonymi do projektu na wykonywanie poleceń i odczyt logów w komponentach należących do innych projektów w tej samej przestrzeni nazw.
- CVE-2026-73840Średnie
OpenChoreo przed wersjami 1.0.3, 1.1.3 i 1.2.0-rc.2 ma podatność w endpointcie POST /api/v1alpha1/autobuild. Wybór dostawcy webhooka opiera się na kontrolowanym przez atakującego nagłówku X-Event-Key, a żądania Bitbucket są akceptowane bez weryfikacji HMAC-SHA256. Pozwala to na nieuwierzytelnione wyzwalanie buildów dla komponentów dopasowanych po URL repozytorium i gałęzi, w tym ataki między dostawcami z użyciem podanych przez atakującego SHA commitów.
- CVE-2026-73667Wysokie
OpenChoreo przed wersjami 1.0.4, 1.1.4 i 1.2.0-rc.2 ma podatność w szablonach Workflow Plane, gdzie parametry kontrolowane przez programistę są interpolowane do kodu powłoki wykonywanego przez sh -c zamiast przekazywane przez container.env. Umożliwia to wykonanie dowolnych komend w podach workflow, a dotknięte szablony Podman nie miały hostUsers: false.
- CVE-2026-73666Wysokie
OpenChoreo przed wersjami 1.0.4, 1.1.4 i 1.2.1 ma podatność w backendzie Backstage, gdzie twardo zakodowano wyłączenie domyślnej polityki uwierzytelniania i zezwolono na dostęp gości poza środowiskiem deweloperskim. Skutkuje to brakiem uwierzytelnienia dla /api/*, umożliwiając nieuwierzytelniony odczyt katalogów, logów scaffolder oraz tworzenie lub usuwanie lokalizacji katalogów.
Oryginalny opis (angielski, źródło NVD)
OpenChoreo is a developer platform for Kubernetes. From 1.0.0 until 1.0.6, 1.1.7, and 1.2.5, the PUT .../workflowruns/{runName} update route authorizes a request using the openchoreo.dev/project and openchoreo.dev/component labels in the submitted body while selecting the stored WorkflowRun by the URL path. An authenticated caller with workflowrun:update for one project or component in the same namespace can name another run in the path, submit ownership labels for a scope they control, and rewrite the victim run's ownership labels. Subsequent authorization then treats the attacker as authorized to read build logs and Kubernetes events, delete the run, modify pending spec.workflow.parameters, or place the run into a permanent ComponentValidationFailed state. The namespace comes from the URL, so the issue is cross-project or cross-component within one namespace and is not anonymously reachable or cross-tenant. This issue is fixed in 1.0.6, 1.1.7, and 1.2.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS