Juju CloudSpec API could leak senstive information

Juju の CVE-2026-5412 は、コントローラーへのログイン権限を持つユーザーが、コントローラーモデルの UUID を知っている場合、コントローラーのブートストラップに使用されるクラウドの認証情報を取得することを可能にします。これは、コントローラーファサードの CloudSpec メソッドを呼び出すことで実現されます。CloudSpec API は通常、コントローラーで実行されているワーカーによってクラウドへの接続を維持するために呼び出されますが、問題は、CLI が juju kill-controller コマンドでコントローラーを強制的に破棄するときに呼び出される場合に発生します。これらの認証情報の公開により、攻撃者がコントローラーの基盤となるインフラストラクチャを侵害し、機密データへのアクセスやクラウドリソースの制御を獲得する可能性があります。

Organizations utilizing Juju for cloud orchestration are at risk, particularly those with less stringent access controls and those who routinely use the juju kill-controller command. Shared hosting environments where multiple users share a single Juju controller instance are also at increased risk, as a compromised user account could potentially expose cloud credentials for all tenants.

• linux / server:

journalctl -u juju -g "CloudSpec API"

• generic web:

curl -I http://<juju_controller_ip>/cloudspec

Check the response headers for any unauthorized access attempts or unusual activity. • generic web:

 grep -r "CloudSpec API" /var/log/nginx/access.log

Look for requests to the CloudSpec API from unexpected IP addresses or user agents.

1. 2026-04-10Disclosure

   disclosure

1. 予約済み2026-04-02
2. 公開日2026-04-10
3. EPSS 更新日2026-04-18

CVE-2026-5412 の解決策は、Juju をバージョン 0.0.0-20260408003526-d395054dc2c3 以降にアップグレードすることです。このバージョンは、CloudSpec メソッドへのアクセスを制限することで脆弱性を修正し、承認されたプロセスのみがクラウド認証情報にアクセスできるようにします。認証情報の公開リスクを軽減するために、できるだけ早くこのアップグレードを適用することをお勧めします。さらに、ユーザー権限を確認し、Juju コントローラーへのアクセスを承認されたユーザーのみに制限してください。