Descripción
Kubero 3.0.0 a 3.1.1 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes remotos no autenticados falsificar JWT administrativos utilizando un secreto de firma de respaldo embebido en el código (hard-coded) cuando JWT_SECRET no está definido. Los atacantes pueden firmar tokens con claims arbitrarios de role, userGroups y permissions, en los que JwtStrategy.validate() confía sin realizar una consulta a la base de datos, para tomar el control de pipelines, aplicaciones, usuarios y tokens de API.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- kubero Afectadas: 3.0.0 a 3.1.1
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/kubero-dev/kubero/issues/786
- Referencia en github.comgithub.com/kubero-dev/kubero
- Referencia en github.comgithub.com/kubero-dev/kubero/blob/bcb52376b19347b8c36bc445ddf3e4bff4a…
- Aviso de vulncheck.comvulncheck.com/advisories/kubero-3.0.0-through-3.1.1-authentication-by…
Ver el texto original en inglés (CVE.org)
Kubero 3.0.0 through 3.1.1 Authentication Bypass via Hardcoded JWT Secret
Kubero 3.0.0 through 3.1.1 contains an authentication bypass vulnerability that allows unauthenticated remote attackers to forge administrative JWTs by using a hardcoded fallback signing secret when JWT_SECRET is unset. Attackers can sign tokens with arbitrary role, userGroups and permissions claims, which JwtStrategy.validate() trusts without a database lookup, to take control of pipelines, applications, users and API tokens.