PT-2026-50823 · Ly+1 · Armeria+1
Publicado
2026-06-18
·
Atualizado
2026-06-19
·
CVE-2026-11752
CVSS v4.0
5.9
Média
| Vetor | AV:N/AC:H/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
armeria-xds versões 1.38.0 a 1.39.0
Descrição
O
DataSourceStream no módulo xDS resolve os campos filename e environment variable de recursos de Segredo SDS sem uma lista de permissões ou confinamento de diretório base. Isso permite que um plano de controle xDS comprometido ou semi-confiável, ou um invasor realizando um ataque de man-in-the-middle em respostas SDS, leia arquivos locais e variáveis de ambiente arbitrárias no host do cliente xDS. Esta divulgação de informações pode ser usada para exfiltrar dados sensíveis, como chaves privadas TLS, arquivos do sistema, credenciais de nuvem e tokens de banco de dados. O problema está localizado no componente xds/src/main/java/com/linecorp/armeria/xds/DataSourceStream.java.Recomendações
Atualize para a versão 1.40.0.
Certifique-se de que o canal do plano de controle xDS esteja autenticado e criptografado usando mTLS para evitar a injeção de respostas SDS maliciosas.
Execute o cliente xDS com permissões mínimas de sistema de arquivos e um ambiente restrito para limitar o impacto de leituras arbitrárias.
Use bytes de
DataSource inline entregues via fluxo SDS em vez de segredos baseados em arquivos e audite as configurações do plano de controle para garantir que não existam DataSources de filename ou environment variable.Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Armeria
Com.Linecorp.Armeria:Armeria-Xds