CVE-2026-82437
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Opis
Przeglądarka dziennika oferuje „logs.users” i „logs.groups”, dzięki czemu operatorzy mogą kontrolować, kto może czytać zawartość dziennika. Dla
dzienniki demona te ustawienia nie zostały zastosowane: decyzja o dostępie połączyła flagę „to jest dziennik demona”.
z osobą autoryzującą w sposób powodujący odrzucenie odpowiedzi osoby autoryzującej za każdym razem, gdy ustawiona została flaga, oraz
strona dziennika demona i punkty końcowe pobierania dotarły do procedury obsługi bez jakiejkolwiek konsultacji z osobą autoryzującą. Dowolny
użytkownik będący w stanie przejść przez skonfigurowany filtr serwletu mógłby zatem odczytać `nimbus.log`, `supervisor.log` i
inne dzienniki demonów w każdym osiągalnym węźle, które zawierają nazwy topologii innych dzierżawców, właścicieli i
fragmenty konfiguracji.
Ta sama porada dotyczy punktów końcowych zawierających listę dzienników, które zaakceptowały argument użytkownika i nigdy go nie zastosowały, tzw
`/listLogs` i `/searchLogs` zwróciły topologię każdego dzierżawcy i nazwy plików dziennika procesu roboczego, niezależnie od
rozmówca. Ta część to tylko metadane.
Nie było konfiguracji, która zamykałaby którekolwiek zachowanie.
Łagodzenie
Uaktualnij do wersji 3.1.0, gdzie ścieżki dziennika demona oceniają te same skonfigurowane listy użytkowników i grup, co
ścieżki dziennika procesu roboczego już używane, a punkty końcowe listy są filtrowane według użytkownika żądającego.
Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji, powinni umieścić przeglądarkę dziennika za odwrotnym proxy, które ogranicza
punkty końcowe dziennika demona i powinny traktować zawartość dziennika demona jako czytelną dla dowolnego użytkownika uwierzytelnionego przez filtr.
Kredyt
ASF – odkrył, że używa agentów Claude do badania bezpieczeństwa projektów open source, co zostało potwierdzone i zgłoszone przez Apache Storm.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org