CVE-2026-89139
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Podatność w Temporal Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami zapisu w pojedynczej przestrzeni nazw (namespace) wykonanie dowolnego polecenia na hoście, na którym działa Worker Service. Polecenie jest wykonywane natychmiast, a proces Worker Service posiada dostęp do danych uwierzytelniających i kluczy TLS całego klastra, co eskaluje wpływ do całego klastra. Luka dotyczy wersji od 1.31.0 do 1.31.2 (przed 1.31.3) i jest obecna w domyślnych binariach i obrazach kontenerowych.
Ocena ryzyka
Atakujący może przejąć kontrolę nad Worker Service, a przez to nad całym klastrem Temporal, ponieważ proces ten ma dostęp do wrażliwych danych uwierzytelniających wszystkich przestrzeni nazw. Może to prowadzić do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Temporal Server do wersji 1.31.3 lub nowszej, jeśli korzystasz z wersji 1.31.0–1.31.2. Dodatkowo, jeśli nie można zaktualizować, należy skonfigurować listę dozwolonych dostawców obliczeń (workercontroller.compute_providers.enabled) tak, aby wykluczyć dostawcę "subprocess" i upewnić się, że wartość jest jawnie ustawiona.
Inne podatności w Temporal Server
Zobacz wszystkie- CVE-2026-120091Wysokie
Temporal Server zawiera moduł Worker Controller Instance (go.temporal.io/auto-scaled-workers), który rejestruje dostawcę obliczeń 'k8s' budującego klienta Kubernetes na podstawie konfiguracji z żądania wywołującego, a nie z konfiguracji operatora. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu w jednej przestrzeni nazw może wywołać operację ValidateWorkerDeploymentVersionComputeConfig, co prowadzi do wykonania dowolnego polecenia na hoście Worker Service z uprawnieniami procesu serwera. Ponieważ proces ten posiada dane uwierzytelniające do wszystkich przestrzeni nazw i materiały TLS klastra, skutki wykraczają poza przestrzeń nazw wywołującego.
- CVE-2026-89140Średnie
Temporal Server nie wiąże wewnętrznych wywołań zwrotnych z przestrzenią nazw, która je dołączyła, co pozwala uwierzytelnionemu wywołującemu z uprawnieniami zapisu w jednej przestrzeni nazw na zmianę stanu harmonogramu Scheduler V2 w innej przestrzeni nazw. Adres wywołania zwrotnego temporal://internal jest zarezerwowany dla wywołań, które Scheduler V2 dołącza do uruchamianych przez siebie Workflows. W dotkniętych wersjach każdy uwierzytelniony wywołujący mógł dołączyć wywołanie zwrotne z tym adresem do żądania uruchomienia Workflow, adres był wyłączony z listy dozwolonych component.callbacks.allowedAddresses, a usługa History dostarczała wywołanie do komponentu wskazanego przez token, w dowolnej przestrzeni nazw, bez autoryzacji oryginalnego wywołującego. Gdy sfałszowane zakończenie pasuje do działania uruchomionego przez docelowy harmonogram, harmonogram rejestruje działanie jako ukończone, podczas gdy jego Workflow nadal działa, co może ominąć politykę nakładania się, taką jak SKIP, i przekazuje dane kontrolowane przez wywołującego do następnego zaplanowanego Workflow jako wynik ostatniego zakończenia. Sfałszowana awaria może również wstrzymać harmonogram skonfigurowany do wstrzymywania przy awarii. Sfałszowanie wymaga identyfikatora docelowej przestrzeni nazw, identyfikatora harmonogramu oraz tożsamości i czasu trwania uruchomionego działania. Nie zidentyfikowano ujawnienia ładunków Workflow ani historii. Tylko przestrzenie nazw zawierające harmonogramy Scheduler V2 mogą być celem; Scheduler V2 jest domyślnie wyłączony, a istniejące harmonogramy Scheduler V2 pozostają celami po wyłączeniu ustawień, które je tworzą.
- CVE-2026-104355Wysokie
Podatność w Temporal Server umożliwia połączonemu klastrowi modyfikację lokalnych przestrzeni nazw (namespaces) w klastrze docelowym, które nie powinny być replikowane. Odbierający klaster nie sprawdza, czy przestrzeń nazw jest globalna, i nadpisuje jej stan, opis, właściciela, retencję, ustawienia archiwizacji oraz listę klastrów, a także aktywny klaster, jeśli zadanie niesie wyższą wersję failover. Atakujący kontrolujący odpowiedzi zarejestrowanego peera może zmienić dowolną lokalną przestrzeń nazw bez poświadczeń na klastrze docelowym, np. oznaczyć ją jako Deprecated, co spowoduje błędy przy uruchamianiu nowych workflowów.
- CVE-2026-87858Wysokie
Temporal Server w wersjach 1.30.0 i nowszych decydował o tym, czy callback zakończenia Workflow jest wewnętrzny, na podstawie nagłówka HTTP dostarczonego przez wywołującego. Uwierzytelniony użytkownik z uprawnieniami zapisu w jednej przestrzeni nazw mógł dołączyć callback, którego nagłówek 'source' powodował przekierowanie żądania do wewnętrznego frontendu i wykonanie dowolnego żądania POST na administracyjnym API jako administrator systemu. W wersjach 1.25.0–1.29.7 występuje węższa wersja tej samej wady, wymagająca zgodności nagłówka z identyfikatorem klastra.
- CVE-2026-16652Wysokie
Temporal Server nie ograniczał pracy wykonywanej podczas wyszukiwania następnego czasu akcji harmonogramu. Uwierzytelniony użytkownik z uprawnieniami zapisu w namespace mógł utworzyć harmonogram łączący drobnoziarnisty interwał z kalendarzem wykluczeń odrzucającym każdy kandydat, co powodowało nadmierne zużycie CPU w komponentach Frontend i Schedule worker.
- CVE-2026-5724Średnie
W serwerze gRPC frontendu Temporal brakowało interceptora autoryzacji w łańcuchu przetwarzania strumieniowego. Skonfigurowane ClaimMapper i Authorizer były pomijane dla endpointu AdminService/StreamWorkflowReplicationMessages, co pozwalało na dostęp bez uwierzytelnienia.
- CVE-2023-3485Niskie
Domyślne ustawienia w otwartym serwerze Temporal przed wersją 1.20 na wszystkich platformach umożliwiają atakującemu stworzenie tokena zadania z dostępem do innej przestrzeni nazw niż ta określona w żądaniu. Wymaga to UUID przestrzeni nazw oraz informacji z historii przepływu pracy dla docelowej przestrzeni nazw.
Oryginalny opis (angielski, źródło NVD)
Temporal Server compiles a Worker Controller Instance module into its Worker Service, and that module registers a compute provider named subprocess whose function is to launch a worker by running a command on the machine hosting the Worker Service. The program name and the argument vector that provider executes are taken from the compute provider configuration supplied in the caller's request rather than from operator configuration. An authenticated caller holding only a write role in a single namespace can therefore configure a worker deployment version so that the Worker Service executes a command of the caller's choosing on its own host, under the account the server process runs as. Execution is immediate rather than deferred: the configuration handler invokes every provider using the invoke strategy directly after validating the submitted specification, so no scaling decision, task arrival, or unusual request sequence is required. Because the Worker Service process holds the persistence credentials for every namespace in the cluster and the cluster's TLS material, the consequence reaches beyond the caller's namespace to the cluster as a whole. The provider is present in the official temporal-server binaries and container images for the affected releases. The only control that can keep it unreachable is the compute provider allowlist, the per-namespace dynamic configuration setting workercontroller.compute_providers.enabled, and that control does not deny by default: its default value is an unset list, and the allowlist check is skipped entirely when the value is unset, so every registered compute provider is permitted, this one included. To determine whether a deployment is affected, check the following together. The deployed Temporal Server version is 1.31.0 or later and earlier than 1.31.3. The Worker Service is running, which it is in the default service set and therefore in a stock deployment. The effective per-namespace value of workercontroller.compute_providers.enabled is either unset or contains subprocess. And authorization is configured, meaning a real authorizer and claim mapper are in place; a deployment running with no authorizer already grants every caller unrestricted access to every namespace, so it has no namespace boundary for this to cross. Note that the separate per-namespace dynamic configuration setting workercontroller.enabled does not gate the affected path. It defaults to false, and a deployment that has never set it in any namespace is still affected, which was confirmed by running an affected release with no value for that setting present anywhere in dynamic configuration. To look for a compute configuration that is already attached, call DescribeWorkerDeploymentVersion for each worker deployment version in each namespace and check whether any scaling group's compute provider type is subprocess.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS