Analytical use of cookies
CVE-2026-91012: Вразливість дозволяє користувачам з роллю manager записувати файли поза межами ${karaf.etc}
Вразливість CVE-2026-91012 дозволяє користувачам з роллю manager записувати файли поза межами ${karaf.etc}, що може призвести до захоплення системи.
- CVSS
- 9.8 CRITICAL
- EPSS
- 49.17%
- Активно використовується
- немає в KEV
- Продукт
- karaf
Що відомо
Вразливість у Apache Karaf ConfigRepositoryImpl дозволяє користувачам з роллю manager записувати конфігураційні файли у будь-яке місце, доступне для запису процесу Karaf, обходячи обмеження директорії ${karaf.etc}. Це може призвести до підвищення привілеїв та захоплення контейнера.
Бізнес-вплив
Для власників інфраструктури, що використовує Apache Karaf, ця вразливість створює серйозний ризик компрометації системи, оскільки користувачі з роллю manager можуть змінювати конфігурації, призначені лише для адміністраторів, та отримувати повний контроль над середовищем. Це може спричинити порушення безпеки, втрату даних і зупинку сервісів.
Рекомендовані дії адміністратора
Рекомендується негайно перевірити наявність оновлень безпеки від постачальника Apache Karaf та застосувати їх. Якщо оновлення недоступні, обмежте доступ до ролі manager, ретельно перевірте журнали на ознаки зловживань і зменшіть мережеву експозицію сервісів Karaf. Також слід перевірити конфігурації ACL та забезпечити належний контроль доступу. DataHouse підтримує перевірку версій та допомогу у впровадженні керованого патчінгу для зниження ризиків.