CVE-2026-59387

WysokieCVSS 8.8

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Konfiguracja routingu Nginx dla Cloud Controller blokuje nieuwierzytelniony dostęp do endpointów /internal/v4/ i /internal/v5/, ale pomija równoważną regułę deny dla /internal/v3/. W efekcie endpointy callbacków stagingu /internal/v3/staging/:guid/droplet_completed i /internal/v3/staging/:guid/build_completed są osiągalne z publicznego listenera API bez OAuth ani mutual TLS.

Ocena ryzyka

Atakujący z ważnym GUID build lub droplet może wysłać sfałszowany callback stagingu, przenieść droplet do stanu STAGED i utrwalić dowolne metadane procesu oraz dane sidecar bez powiązanego pakietu lub aktora. SpaceAuditor może wyliczać GUIDy bez uprawnień zapisu, co czyni to skuteczną eskalacją uprawnień poza zamierzoną granicę roli.

Rekomendacja

Dodaj regułę deny dla /internal/v3/ w konfiguracji Nginx Cloud Controller, równoważną z regułami dla /internal/v4/ i /internal/v5/, oraz zweryfikuj, że endpointy stagingu nie są dostępne z publicznego listenera API.

Inne podatności w Cloud Controller (CAPI)

CVE-2026-59388Średnie
Cloud Controller (CAPI) ujawnia poufne dane w logach audytu w wielu miejscach: dane uwierzytelniające niestandardowych buildpacków są widoczne w zdarzeniach audytu dla aplikacji manifestu, tworzenia i aktualizacji; dane uwierzytelniające URL syslog drain są widoczne w zdarzeniach audytu instancji usług dostarczonych przez użytkownika; a parametry powiązań usług są ujawniane w zdarzeniach audytu manifestu aplikacji i powiązań usług.

Oryginalny opis (angielski, źródło NVD)

The Nginx routing configuration for Cloud Controller blocks unauthenticated access to /internal/v4/ and /internal/v5/ endpoints but omits an equivalent deny rule for /internal/v3/. As a result, the staging callback endpoints /internal/v3/staging/:guid/droplet_completed and /internal/v3/staging/:guid/build_completed are reachable from the public API listener without OAuth or mutual TLS. An attacker with a valid build or droplet GUID can submit a forged staging callback, transition a droplet to STAGED, and persist arbitrary process metadata and sidecar data with no associated package or actor. A SpaceAuditor can enumerate GUIDs without write permissions, making this an effective privilege escalation beyond the intended role boundary.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS