CVE-2026-71845
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W insights-client wykryto wadę: funkcja setDefault() loguje wartość każdej zmiennej środowiskowej, w tym CCX_TOKEN, poświadczenia typu bearer używanego we wdrożeniach klastrów rozłączonych. Gdy poziom szczegółowości glog jest ustawiony na 2 lub wyższy, token jest zapisywany w postaci jawnego tekstu w logach poda przy każdym starcie. Atakujący z dostępem do logów poda lub scentralizowanych logów może uzyskać poświadczenie, prowadząc do nieautoryzowanego dostępu do API CCX.
Ocena ryzyka
Ryzyko obejmuje wyciek wrażliwych poświadczeń do logów, co może umożliwić atakującemu nieautoryzowany dostęp do API CCX i potencjalnie do danych klienta.
Rekomendacja
Zaleca się aktualizację insights-client do wersji z poprawką oraz unikanie ustawiania poziomu szczegółowości glog na 2 lub wyższy w środowiskach produkcyjnych.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in insights-client. The setDefault() function logs the value of every environment variable it processes, including CCX_TOKEN, a bearer credential used in disconnected cluster deployments. When glog verbosity is set to level 2 or higher, the token is written in clear text to the pod log on every startup. An attacker with access to pod logs or centralized logging could obtain the credential, leading to unauthorized access to the CCX API.