Odebrany

CVE-2026-91085

opublikowano: 29.09.2026, 11:17

modyfikacja: 29.09.2026, 16:56

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Bezpieczeństwo poleceń powłoki/SSH Apache Karaf jest egzekwowane przez pliki konfiguracyjne ACL dla poszczególnych zakresów (etc/org.apache.karaf.command.acl.<scope>.cfg). SecuredSessionFactoryImpl.checkSecurity() rozpoznaje role wymagane do wywołania i jeśli żadna reguła ACL nie pasuje do polecenia, otwarcie nie powiedzie się: ACLConfigurationParser.Specificity.NO_MATCH ustawia passCheck = true. Zawór bezpieczeństwa w tym przypadku, karaf.secured.command.compulsory.roles, statki został skomentowany w etc/system.properties, więc każdemu uwierzytelnionemu użytkownikowi dozwolone jest niezrównane polecenie.

Dostarczona lista ACL org.apache.karaf.command.acl.config (assemblies/features/standard/src/main/feature/feature.xml, odzwierciedlona w instance/.../etc/org.apache.karaf.command.acl.config.cfg) nie zawiera wpisu dotyczącego instalacji. Ogranicza usuwanie do administratora, edycję/właściwość-*/update na identyfikatorach PID jmx.acl.*, org.apache.karaf.command.acl.* i org.apache.karaf.service.acl.* do administratora i pozwala menedżerowi zająć się wszystkim innym, ale config:install po prostu nie miało sobie równych i dlatego jest dozwolone dla każdego uwierzytelnionego użytkownika, w tym taki, który pełni wyłącznie rolę widza.

config:install <url> <finalname> pobiera adres URL i zapisuje go w ${karaf.etc} jako finalname. Wywołuje PathUtils.checkWithin(), aby zablokować... przechodzenie poza plik karaf.etc, ale w tym folderze znajdują się wszystkie pliki istotne dla bezpieczeństwa dostarczane przez Karaf: users.properties, keys.properties, host.key i wszystkie pliki org.apache.karaf.*.acl.* , w tym sam plik ACL, który (błędnie) zarządza tym poleceniem. W przypadku opcji -o/--override istniejący plik zostaje nadpisany bajtami kontrolowanymi przez osobę atakującą pobranymi z dowolnego adresu URL.

Ponieważ felix.fileinstall.dir = ${karaf.etc} (etc/config.properties), Felix FileInstall również obserwuje i ponownie ładuje wszelkie upuszczone tam pliki .cfg, zamykając pętlę bez konieczności ponownego uruchamiania.

Z kolei bundle:install, feature:install i kar:install są przeznaczone tylko dla administratora na swoich własnych listach ACL, a config:delete jest administratorem na tej samej liście ACL, config:install jest wartością odstającą.

MitigationAdd install = admin in etc/org.apache.karaf.command.acl.config.cfg (utwórz plik jest nieobecny) i/lub ustaw karaf.secured.command.compulsory.roles=admin w etc/system.properties (i uruchom ponownie), aby niedopasowane polecenia domyślnie nie były zamykane.

Apache Karaf's shell/SSH command security is enforced by per-scope ACL configuration files (etc/org.apache.karaf.command.acl.<scope>.cfg). SecuredSessionFactoryImpl.checkSecurity() resolves the roles required for an invocation and, when no ACL rule matches the command, fails open: ACLConfigurationParser.Specificity.NO_MATCH sets passCheck = true. The safety valve for this, karaf.secured.command.compulsory.roles, ships commented out in etc/system.properties, so an unmatched command is allowed for any authenticated user.

The shipped org.apache.karaf.command.acl.config ACL (assemblies/features/standard/src/main/feature/feature.xml, mirrored into instance/.../etc/org.apache.karaf.command.acl.config.cfg) has no install entry. It restricts delete to admin, restricts edit/property-*/update on the jmx.acl.*, org.apache.karaf.command.acl.* and org.apache.karaf.service.acl.* PIDs to admin, and allows manager for everything else, but config:install was simply unmatched, and therefore allowed for any authenticated user, including one holding only the viewer role.

config:install <url> <finalname> fetches url and writes it into ${karaf.etc} as finalname. It calls PathUtils.checkWithin() to block .. traversal outside karaf.etc, but that folder holds every security-relevant file Karaf ships: users.properties, keys.properties, host.key, and all org.apache.karaf.*.acl.* files, including the very ACL file that (mis)governs this command. With -o/--override, an existing file is overwritten with attacker-controlled bytes fetched from an arbitrary URL.

Because felix.fileinstall.dir = ${karaf.etc} (etc/config.properties), Felix FileInstall also watches and reloads any .cfg file dropped there, closing the loop without requiring a restart.

By contrast, bundle:install, feature:install and kar:install are all admin-only in their own ACLs, and config:delete is admin in this same ACL, config:install was the outlier.

MitigationAdd install = admin in etc/org.apache.karaf.command.acl.config.cfg (create the file is absent), and/or set karaf.secured.command.compulsory.roles=admin in etc/system.properties (and restart) to make unmatched commands fail closed by default.

>_ Słabości (CWE)

CWE-862

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve