Wysoki Odebrany

CVE-2026-89139

opublikowano: 21.09.2026, 14:17

modyfikacja: 21.09.2026, 18:17

Ocena CVSS

8.7

Wysoki · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Serwer Temporal Server kompiluje moduł instancji kontrolera procesu roboczego w swoją usługę procesu roboczego, a moduł ten rejestruje dostawcę obliczeń o nazwie subprocess, którego funkcją jest uruchamianie procesu roboczego poprzez uruchomienie polecenia na komputerze obsługującym usługę procesu roboczego. Nazwa programu i wektor argumentów wykonywany przez dostawcę są pobierane z konfiguracji dostawcy obliczeń dostarczonej w żądaniu obiektu wywołującego, a nie z konfiguracji operatora. Uwierzytelniony obiekt wywołujący posiadający tylko rolę zapisu w pojedynczej przestrzeni nazw może zatem skonfigurować wersję wdrożenia procesu roboczego w taki sposób, aby usługa robocza wykonywała polecenie wybrane przez wywołującego na swoim własnym hoście, w ramach konta, na którym działa proces serwera. Wykonanie jest natychmiastowe, a nie opóźnione: procedura obsługi konfiguracji wywołuje każdego dostawcę przy użyciu strategii wywoływania bezpośrednio po sprawdzeniu przesłanej specyfikacji, więc nie jest wymagana żadna decyzja dotycząca skalowania, przybycie zadania ani nietypowa sekwencja żądań. Ponieważ proces usługi roboczej przechowuje poświadczenia trwałości dla każdej przestrzeni nazw w klastrze i materiału TLS klastra, konsekwencje wykraczają poza przestrzeń nazw obiektu wywołującego i obejmują klaster jako całość. Dostawca jest obecny w oficjalnych plikach binarnych serwera tymczasowego i obrazach kontenerów dla wersji, których dotyczy problem. Jedyną kontrolką, która może sprawić, że będzie ona nieosiągalna, jest lista dozwolonych dostawców obliczeń, ustawienie dynamicznej konfiguracji dla przestrzeni nazw workercontroller.compute_providers.enabled, przy czym ta kontrolka domyślnie nie odrzuca: jej domyślną wartością jest lista nieustawiona, a sprawdzanie listy dozwolonych jest całkowicie pomijane, gdy wartość jest nieustawiona, więc każdy zarejestrowany dostawca obliczeń jest dozwolony, łącznie z tym. Aby ustalić, czy problem dotyczy wdrożenia, sprawdź łącznie poniższe elementy. Wdrożona wersja serwera Temporal Server to 1.31.0 lub nowsza i wcześniejsza niż 1.31.3. Usługa procesu roboczego jest uruchomiona i znajduje się w domyślnym zestawie usług, a zatem we wdrożeniu podstawowym. Efektywna wartość workercontroller.compute_providers.enabled dla przestrzeni nazw jest nieustawiona lub zawiera podproces. Autoryzacja jest skonfigurowana, co oznacza, że działa prawdziwy autoryzator i narzędzie mapujące roszczenia; wdrożenie działające bez autoryzatora zapewnia już każdemu wywołującemu nieograniczony dostęp do każdej przestrzeni nazw, więc nie ma granicy przestrzeni nazw, która mogłaby zostać przekroczona. Należy pamiętać, że oddzielne ustawienie konfiguracji dynamicznej dla poszczególnych przestrzeni nazw workercontroller.enabled nie powoduje bramkowania ścieżki, której dotyczy problem. Domyślnie ma wartość false i nadal ma to wpływ na wdrożenie, w którym nigdy nie ustawiono tej opcji w żadnej przestrzeni nazw, co zostało potwierdzone przez uruchomienie wersji, której dotyczy problem, bez wartości tego ustawienia występującej gdziekolwiek w konfiguracji dynamicznej. Aby wyszukać już dołączoną konfigurację obliczeniową, wywołaj DescribeWorkerDeploymentVersion dla każdej wersji wdrożenia procesu roboczego w każdej przestrzeni nazw i sprawdź, czy typem dostawcy obliczeń dowolnej grupy skalowania jest podproces.

Temporal Server compiles a Worker Controller Instance module into its Worker Service, and that module registers a compute provider named subprocess whose function is to launch a worker by running a command on the machine hosting the Worker Service. The program name and the argument vector that provider executes are taken from the compute provider configuration supplied in the caller's request rather than from operator configuration. An authenticated caller holding only a write role in a single namespace can therefore configure a worker deployment version so that the Worker Service executes a command of the caller's choosing on its own host, under the account the server process runs as. Execution is immediate rather than deferred: the configuration handler invokes every provider using the invoke strategy directly after validating the submitted specification, so no scaling decision, task arrival, or unusual request sequence is required. Because the Worker Service process holds the persistence credentials for every namespace in the cluster and the cluster's TLS material, the consequence reaches beyond the caller's namespace to the cluster as a whole. The provider is present in the official temporal-server binaries and container images for the affected releases. The only control that can keep it unreachable is the compute provider allowlist, the per-namespace dynamic configuration setting workercontroller.compute_providers.enabled, and that control does not deny by default: its default value is an unset list, and the allowlist check is skipped entirely when the value is unset, so every registered compute provider is permitted, this one included. To determine whether a deployment is affected, check the following together. The deployed Temporal Server version is 1.31.0 or later and earlier than 1.31.3. The Worker Service is running, which it is in the default service set and therefore in a stock deployment. The effective per-namespace value of workercontroller.compute_providers.enabled is either unset or contains subprocess. And authorization is configured, meaning a real authorizer and claim mapper are in place; a deployment running with no authorizer already grants every caller unrestricted access to every namespace, so it has no namespace boundary for this to cross. Note that the separate per-namespace dynamic configuration setting workercontroller.enabled does not gate the affected path. It defaults to false, and a deployment that has never set it in any namespace is still affected, which was confirmed by running an affected release with no value for that setting present anywhere in dynamic configuration. To look for a compute configuration that is already attached, call DescribeWorkerDeploymentVersion for each worker deployment version in each namespace and check whether any scaling group's compute provider type is subprocess.

>_ Słabości (CWE)

CWE-78 CWE-749 CWE-1188

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve