जुजू क्लाउडस्पेसि API संवेदनशील जानकारी लीक कर सकता है

Juju में CVE-2026-5412 एक उपयोगकर्ता को कंट्रोलर पर लॉगिन अनुमति के साथ, और कंट्रोलर मॉडल UUID को जानने की स्थिति में, कंट्रोलर को बूटस्ट्रैप करने के लिए उपयोग किए गए क्लाउड क्रेडेंशियल्स को पुनः प्राप्त करने की अनुमति देता है। यह कंट्रोलर फ़ेसड पर CloudSpec विधि को कॉल करके प्राप्त किया जाता है। हालांकि CloudSpec API आमतौर पर क्लाउड से कनेक्शन बनाए रखने के लिए कंट्रोलर पर चलने वाले वर्कर्स द्वारा कॉल किया जाता है, लेकिन समस्या तब उत्पन्न होती है जब इसे CLI द्वारा juju kill-controller कमांड के साथ कंट्रोलर को नष्ट (बलपूर्वक हटाना) करते समय कॉल किया जाता है। इन क्रेडेंशियल्स का एक्सपोजर एक हमलावर को कंट्रोलर के अंतर्निहित बुनियादी ढांचे को समझौता करने की अनुमति दे सकता है, संभावित रूप से संवेदनशील डेटा तक पहुंच प्राप्त कर सकता है या क्लाउड संसाधनों पर नियंत्रण प्राप्त कर सकता है।

Organizations utilizing Juju for cloud orchestration are at risk, particularly those with less stringent access controls and those who routinely use the juju kill-controller command. Shared hosting environments where multiple users share a single Juju controller instance are also at increased risk, as a compromised user account could potentially expose cloud credentials for all tenants.

• linux / server:

journalctl -u juju -g "CloudSpec API"

• generic web:

curl -I http://<juju_controller_ip>/cloudspec

Check the response headers for any unauthorized access attempts or unusual activity. • generic web:

 grep -r "CloudSpec API" /var/log/nginx/access.log

Look for requests to the CloudSpec API from unexpected IP addresses or user agents.

1. 2026-04-10Disclosure

   disclosure

1. आरक्षित2026-04-02
2. प्रकाशित2026-04-10
3. EPSS अद्यतन2026-04-18

CVE-2026-5412 के लिए समाधान Juju को संस्करण 0.0.0-20260408003526-d395054dc2c3 या उच्चतर में अपग्रेड करना है। यह संस्करण CloudSpec विधि तक पहुंच को प्रतिबंधित करके भेद्यता को ठीक करता है, यह सुनिश्चित करता है कि केवल अधिकृत प्रक्रियाएं ही क्लाउड क्रेडेंशियल्स तक पहुंच सकें। क्रेडेंशियल्स के एक्सपोजर के जोखिम को कम करने के लिए इस अपग्रेड को जल्द से जल्द लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, उपयोगकर्ता अनुमतियों की समीक्षा करें और सुनिश्चित करें कि केवल अधिकृत उपयोगकर्ताओं के पास Juju कंट्रोलर तक पहुंच है।