CVE-2026-71289
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Referencyjna implementacja NASA-AMMOS Asynchronous Network Management System (ANMS) w domyślnym docker-compose.yml publikuje API REST usługi amp-manager bezpośrednio na interfejsie sieciowym hosta (port 8089) z cap_add: NET_ADMIN, NET_RAW, SYS_NICE, omijając bramę CAM, która jest jedyną granicą uwierzytelniania.
Ocena ryzyka
Atakujący może uzyskać bezpośredni dostęp do API bez uwierzytelniania, co może prowadzić do nieautoryzowanego zarządzania systemem, naruszenia integralności lub przejęcia kontroli.
Rekomendacja
Należy zmienić konfigurację docker-compose.yml, aby nie publikować portu 8089 na hoście i korzystać z bramy CAM. Zaleca się również ograniczenie uprawnień cap_add.
Oryginalny opis (angielski, źródło NVD)
The NASA-AMMOS Asynchronous Network Management System (ANMS) reference implementation's default docker-compose.yml publishes the amp-manager service's REST API directly to the host network interface (port 8089, e.g. ":8089/tcp") with cap_add: NET_ADMIN, NET_RAW, SYS_NICE, bypassing the CAM (Configuration and Access Manager) gateway that is otherwise the system's sole authentication boundary.