Plateforme
go
Composant
github.com/juju/juju
Corrigé dans
2.9.57
3.6.21
0.0.0-20260408003526-d395054dc2c3
La vulnérabilité CVE-2026-5412 concerne Juju, où une faille d'autorisation dans la façade du contrôleur permet à un utilisateur authentifié d'extraire les identifiants du cloud utilisés pour le bootstrapping du contrôleur. Cette faille permet à un utilisateur peu privilégié d'accéder à des informations sensibles. Les versions concernées sont les versions 2.9.0 à 3.6.21. La correction est disponible dans la version 3.6.21.
La vulnérabilité CVE-2026-5412 dans Juju permet à un utilisateur disposant des permissions de connexion à un contrôleur, et connaissant l'UUID du modèle du contrôleur, de récupérer les informations d'identification du cloud utilisées pour le provisionnement du contrôleur. Ceci est réalisé en appelant la méthode CloudSpec sur la façade du Contrôleur. Bien que l'API CloudSpec soit normalement appelée par les workers s'exécutant sur le contrôleur pour maintenir la connexion au cloud, le problème survient lorsque celle-ci est appelée par l'interface de ligne de commande (CLI) lors de la destruction (suppression forcée) d'un contrôleur avec juju kill-controller. L'exposition de ces informations d'identification pourrait permettre à un attaquant de compromettre l'infrastructure sous-jacente du contrôleur, obtenant potentiellement un accès à des données sensibles ou un contrôle sur les ressources du cloud.
Un attaquant disposant d'un accès de connexion à un contrôleur Juju et connaissant l'UUID du modèle du contrôleur pourrait exploiter cette vulnérabilité en exécutant la commande juju kill-controller. Cette commande, conçue pour détruire un contrôleur, appelle involontairement la méthode CloudSpec, exposant les informations d'identification du cloud. La facilité avec laquelle cette commande peut être exécutée, combinée à la haute sévérité de la vulnérabilité (CVSS 9.9), en fait un risque important. La nécessité de connaître l'UUID du modèle est un obstacle relativement faible pour un attaquant qui a déjà accès au contrôleur.
Organizations utilizing Juju for cloud orchestration are at risk, particularly those with less stringent access controls and those who routinely use the juju kill-controller command. Shared hosting environments where multiple users share a single Juju controller instance are also at increased risk, as a compromised user account could potentially expose cloud credentials for all tenants.
• linux / server:
journalctl -u juju -g "CloudSpec API"• generic web:
curl -I http://<juju_controller_ip>/cloudspecCheck the response headers for any unauthorized access attempts or unusual activity. • generic web:
grep -r "CloudSpec API" /var/log/nginx/access.logLook for requests to the CloudSpec API from unexpected IP addresses or user agents.
disclosure
Statut de l'Exploit
EPSS
0.04% (percentile 12%)
CISA SSVC
Vecteur CVSS
La solution pour CVE-2026-5412 est de mettre à niveau Juju vers la version 0.0.0-20260408003526-d395054dc2c3 ou supérieure. Cette version corrige la vulnérabilité en restreignant l'accès à la méthode CloudSpec, garantissant que seuls les processus autorisés peuvent accéder aux informations d'identification du cloud. Il est recommandé d'appliquer cette mise à niveau dès que possible afin d'atténuer le risque d'exposition des informations d'identification. De plus, examinez les permissions des utilisateurs et assurez-vous que seuls les utilisateurs autorisés ont accès aux contrôleurs Juju.
Actualice Juju a la versión 2.9.57 o superior, o a la versión 3.6.21 o superior. Esto corrige la vulnerabilidad de autorización que permite a usuarios no autorizados acceder a credenciales sensibles utilizadas para el bootstrapping del controlador.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Juju est un outil d'orchestration de conteneurs de Canonical qui simplifie le déploiement et la gestion des applications dans le cloud.
Cette vulnérabilité permet l'exposition d'informations d'identification du cloud, ce qui pourrait entraîner une grave violation de sécurité et une prise de contrôle potentielle de l'infrastructure.
Vérifiez la version de Juju que vous utilisez. Si elle est antérieure à 0.0.0-20260408003526-d395054dc2c3, vous êtes affecté.
Si vous ne pouvez pas mettre à niveau immédiatement, limitez l'accès au contrôleur Juju aux utilisateurs autorisés et surveillez l'activité suspecte.
Actuellement, il n'existe pas d'outils spécifiques pour détecter cette vulnérabilité, mais des audits de sécurité réguliers sont recommandés.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier go.mod et nous te dirons instantanément si tu es affecté.