CVE-2026-120091

Temporal Server kompiluje moduł instancji kontrolera procesu roboczego, go.temporal.io/auto-scaled-workers, do swojej usługi roboczej, a moduł ten rejestruje dostawcę obliczeń o nazwie k8s, którego zadaniem jest zarządzanie procesami roboczymi działającymi w klastrze Kubernetes. Dostawca k8s zbudował swojego klienta Kubernetes na podstawie konfiguracji klienta dostarczonej w żądaniu osoby wywołującej, a nie z konfiguracji operatora, a budowanie i używanie tego klienta mogło uruchomić polecenie wybrane przez osobę wywołującą na hoście usługi roboczej, w ramach konta, na którym działa proces serwera. Do dostawcy docierają dwie operacje frontendowe. CreateWorkerDeploymentVersion wymaga roli zapisu w przestrzeni nazw. ValidateWorkerDeploymentVersionComputeConfig jest zarejestrowany jako operacja przestrzeni nazw tylko do odczytu, więc uwierzytelniony obiekt wywołujący posiadający tylko rolę odczytu w pojedynczej przestrzeni nazw może za jego pośrednictwem dotrzeć do dostawcy, a ta trasa nie wymaga już istnienia wdrożenia procesu roboczego. Wykonanie ma miejsce podczas sprawdzania przesłanej konfiguracji, więc nie jest wymagana żadna decyzja dotycząca skalowania, przybycie zadania ani nietypowa sekwencja żądań. Ponieważ proces usługi roboczej przechowuje poświadczenia trwałości dla każdej przestrzeni nazw w klastrze i materiału TLS klastra, konsekwencje wykraczają poza przestrzeń nazw obiektu wywołującego i obejmują klaster jako całość. Dostawca jest obecny w oficjalnych plikach binarnych serwera tymczasowego i obrazach kontenerów dla wersji, których dotyczy problem. Kontrolą, która sprawia, że ​​jest ona nieosiągalna, jest lista dozwolonych dostawców obliczeń, czyli dynamiczne ustawienie konfiguracji workercontroller.compute_providers.enabled. Na serwerze Temporal Server w wersjach od 1.31.0 do 1.31.2 ta lista dozwolonych domyślnie nie odrzuca: gdy ustawienie jest nieskonfigurowane, sprawdzenie jest pomijane i każdy zarejestrowany dostawca usług obliczeniowych jest dozwolony, łącznie z k8, więc standardowe wdrożenie tych wydań jest ujawnione. W wersjach 1.31.3 i późniejszych 1.31 oraz w wersjach 1.32.0 i późniejszych 1.32 lista dozwolonych domyślnie odrzuca, a wdrożenie jest widoczne tylko wtedy, gdy dodano do niego k8s. Wersja 1.30 nie zawiera modułu Worker Controller Instance i nie ma na to wpływu. Aby ustalić, czy problem dotyczy wdrożenia, sprawdź łącznie poniższe elementy. Wdrożona wersja serwera tymczasowego mieści się w zakresie, którego dotyczy problem. Usługa procesu roboczego jest uruchomiona i znajduje się w domyślnym zestawie usług, a zatem we wdrożeniu podstawowym. Efektywna wartość workercontroller.compute_providers.enabled zawiera k8s lub tylko w wersjach od 1.31.0 do 1.31.2 jest nieustawiona; sprawdź zarówno wartość globalną, jak i każde zastąpienie ograniczone przestrzenią nazw, ponieważ zastąpienie może dodać k8 dla pojedynczej przestrzeni nazw. Autoryzacja jest skonfigurowana, co oznacza, że ​​działa prawdziwy autoryzator i narzędzie mapujące roszczenia; wdrożenie działające bez autoryzatora zapewnia już każdemu wywołującemu nieograniczony dostęp do każdej przestrzeni nazw, więc nie ma granicy przestrzeni nazw, która mogłaby zostać przekroczona. Wdrożenia korzystające z niestandardowego autora autoryzacji powinny również sprawdzić, czy zezwala on na ValidateWorkerDeploymentVersionComputeConfig obiektom wywołującym bez dostępu do zapisu w przestrzeni nazw. Oddzielne ustawienie konfiguracji dynamicznej dla poszczególnych przestrzeni nazw workercontroller.enabled nie zamyka ścieżki, której dotyczy problem, w żadnej wersji, której dotyczy problem.