OpenChoreo — платформа разработки для Kubernetes. До версий 1.0.4, 1.1.4 и 1.2.1 серверная часть OpenChoreo Backstage жестко закодировала для backend.auth.dangerousDisableDefaultAuthPolicy и auth.providers.guest.dangerouslyAllowOutsideDevelopment значение true, открывая /api/* без аутентификации и разрешая неаутентифицированное чтение каталога, чтение журнала scaffolder, а также создание или удаление местоположения каталога. Эта проблема исправлена в версиях 1.0.4, 1.1.4 и 1.2.1.
Показать оригинальное описание (EN)
OpenChoreo is a developer platform for Kubernetes. Prior to 1.0.4, 1.1.4, and 1.2.1, the OpenChoreo Backstage backend hardcoded backend.auth.dangerouslyDisableDefaultAuthPolicy and auth.providers.guest.dangerouslyAllowOutsideDevelopment to true, exposing /api/* without authentication and allowing unauthenticated catalog reads, scaffolder log reads, and catalog location creation or deletion. This issue is fixed in versions 1.0.4, 1.1.4, and 1.2.1.
Характеристики атаки
Последствия
Строка CVSS v3.1