CVE-2026-5774

ŚrednieCVSS 6.4

Opublikowano: 10/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

W Canonical Juju 4.0.5, 3.6.20 i 2.9.56 występuje niewłaściwa synchronizacja mapy userTokens w serwerze API. Może to pozwolić uwierzytelnionemu użytkownikowi na wywołanie odmowy usługi (DoS) lub ponowne użycie jednorazowego tokenu discharge.

Ocena ryzyka

Uwierzytelniony atakujący może zakłócić działanie serwera Juju lub obejść mechanizm jednorazowych tokenów, co może prowadzić do nieautoryzowanych działań.

Rekomendacja

Zaktualizuj Canonical Juju do wersji zawierającej poprawkę (4.0.5, 3.6.20, 2.9.56 lub nowszej, zgodnie z zaleceniami producenta).

Inne podatności w Canonical Juju

CVE-2026-93336Wysokie
W Canonical Juju w wersjach 4.0–4.0.15 brakuje autoryzacji w trasie pobierania zasobów jednostki. Uwierzytelniony podmiot kontrolera (agent jednostki lub użytkownik z uprawnieniem tylko do logowania) może odczytać zasoby charm dowolnej aplikacji w dowolnym modelu, w tym dane uwierzytelniające do rejestru kontenerów, poprzez spreparowane żądanie wskazujące dowolną jednostkę.

Oryginalny opis (angielski, źródło NVD)

Improper synchronization of the userTokens map in the API server in Canonical Juju 4.0.5, 3.6.20, and 2.9.56 may allow an authenticated user to possibly cause a denial of service on the server or possibly reuse a single-use discharge token.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS