- CWE-639
CVE-2026-113727
OpenChoreo'da WorkflowRun güncelleme yetkilendirme atlatması, workflow çalıştırmalarının projeler arası ele geçirilmesine izin veriyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
OpenChoreo, Kubernetes için bir geliştirici platformudur. 1.0.0 ile 1.0.6, 1.1.7 ve 1.2.5 sürümleri arasında, PUT .../workflowruns/{runName} güncelleme yolu, bir isteği yetkilendirirken gönderilen gövdedeki ve etiketlerini kullanır; ancak depolanmış WorkflowRun kaydını URL yolundaki değere göre seçer. Aynı namespace içinde bir proje veya bileşen için workflowrun:update yetkisine sahip kimliği doğrulanmış bir kullanıcı, yoldaki başka bir çalıştırmanın adını verebilir, kendi kontrolündeki bir kapsam için sahiplik etiketleri gönderebilir ve hedef çalıştırmanın sahiplik etiketlerini yeniden yazabilir. Bunun ardından yapılan yetkilendirme, saldırganı derleme günlüklerini ve Kubernetes olaylarını okuma, çalıştırmayı silme, bekleyen spec.workflow.parameters değerlerini değiştirme veya çalıştırmayı kalıcı olarak ComponentValidationFailed durumuna sokma konusunda yetkili kabul eder. Namespace URL'den alındığı için sorun, aynı namespace içindeki projeler veya bileşenler arası bir sorundur; anonim olarak erişilebilir değildir ve kiracılar arası değildir. Bu sorun 1.0.6, 1.1.7 ve 1.2.5 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
OpenChoreo is a developer platform for Kubernetes. From 1.0.0 until 1.0.6, 1.1.7, and 1.2.5, the PUT .../workflowruns/{runName} update route authorizes a request using the openchoreo.dev/project and openchoreo.dev/component labels in the submitted body while selecting the stored WorkflowRun by the URL path. An authenticated caller with workflowrun:update for one project or component in the same namespace can name another run in the path, submit ownership labels for a scope they control, and rewrite the victim run's ownership labels. Subsequent authorization then treats the attacker as authorized to read build logs and Kubernetes events, delete the run, modify pending spec.workflow.parameters, or place the run into a permanent ComponentValidationFailed state. The namespace comes from the URL, so the issue is cross-project or cross-component within one namespace and is not anonymously reachable or cross-tenant. This issue is fixed in 1.0.6, 1.1.7, and 1.2.5.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| openchoreo | Sürüm belirtilmemiş | – |
Kaynaklar14 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…choreo/security/advisories/GHSA-46r4-q7wv-32fc Diğer
- github.com/openchoreo/openchoreo/pull/4596 Diğer
- github.com/openchoreo/openchoreo/pull/4618 Diğer
- github.com/openchoreo/openchoreo/pull/4626 Diğer
- github.com/openchoreo/openchoreo/pull/4627 Diğer
- github.com/…ommit/0e311468bb704b0dce7753b89c9d0204009285ca Diğer
- github.com/…ommit/477031c6fece0666f144942fb02c0b579dacc0bb Diğer
- github.com/…ommit/91e1e868eb8e0e67274109018d00a767b22eda14 Diğer
- github.com/…ommit/d5ed0ef62d9c9af7b05a72aed2bcbc0ac9d45426 Diğer
- github.com/openchoreo/openchoreo/releases/tag/v1.0.6 Diğer
- github.com/openchoreo/openchoreo/releases/tag/v1.1.7 Diğer
- github.com/openchoreo/openchoreo/releases/tag/v1.2.5 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.