CVE-2026-18677
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W Kong Mesh działającym w trybie uniwersalnym z MeshIdentity, którego szablon ścieżki SPIFFE ID pochodzi z etykiety kuma.io/workload dataplane, autoryzator XDS w kuma-cp waliduje tę etykietę tylko wtedy, gdy token dataplane jest powiązany z obciążeniem. Powiązanie z obciążeniem jest opcjonalne, więc dataplane z tokenem powiązanym z tagami może zarejestrować się z dowolną wartością kuma.io/workload i uzyskać tożsamość SPIFFE innego obciążenia.
Ocena ryzyka
Atakujący może podszyć się pod inne obciążenie i uzyskać nieautoryzowany dostęp do zasobów, co może prowadzić do naruszenia integralności i poufności.
Rekomendacja
Zaleca się skonfigurowanie wymogu powiązania tokena z obciążeniem lub odpowiednie zabezpieczenie walidacji etykiety.
Oryginalny opis (angielski, źródło NVD)
In Kong Mesh running in universal mode with a MeshIdentity whose SPIFFE ID path template derives from the dataplane's kuma.io/workload label, the XDS authenticator in kuma-cp validates that label only when the dataplane token is bound to a workload. Workload binding is optional, so a dataplane presenting a tags-bound token can register with kuma.io/workload set to any value and obtain another workload's SPIFFE identity.