Descripción
En las versiones 3.8.0 anteriores a 3.9.2 de Eclipse ioFog Operator, la verificación de certificados TLS está deshabilitada cuando el operador se comunica con la API de Controller y cuando inicia sesión en un emisor OIDC externo. Un atacante ubicado en la ruta de la comunicación puede presentar cualquier certificado, capturar el secreto de cliente OAuth (modo externo) o la contraseña de administrador de arranque de Controller (modo embebido con HTTPS de Controller habilitado), y suministrar el token de acceso que el operador almacena para llamadas posteriores a la API de Controller. La versión v3.8 eliminó Keycloak. La credencial expuesta no es un secreto de administrador de realm de Keycloak.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Eclipse ioFog Afectadas: 3.8.0 y anteriores a 3.9.2
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en gitlab.eclipse.orggitlab.eclipse.org/security/vulnerability-reports/-/work_items/1064
- Referencia en gitlab.eclipse.orggitlab.eclipse.org/security/cve-assignment/-/work_items/519
- Referencia en github.comgithub.com/eclipse-iofog/iofog-operator/releases/tag/v3.9.2
Ver el texto original en inglés (CVE.org)
Eclipse ioFog Operator disables TLS certificate verification when sending Controller and OIDC credentials
In Eclipse ioFog Operator versions 3.8.0 before 3.9.2, TLS certificate verification is disabled when the operator contacts the Controller API and when it logs in to an external OIDC issuer. An on-path attacker can present any certificate, capture the OAuth client secret (external mode) or the Controller bootstrap admin password (embedded mode with Controller HTTPS enabled), and supply the access token the operator stores for later Controller API calls. v3.8 removed Keycloak. The exposed credential is not a Keycloak realm-admin secret.