CVE-2026-120091 in Server
Zusammenfassung
von VulDB • 03.11.2026
Der Temporal Server kompiliert ein Worker Controller Instance-Modul, go.temporal.io/auto-scaled-workers, in seinen Worker Service, und dieses Modul registriert einen Compute-Provider namens k8s, dessen Aufgabe darin besteht, Workers zu verwalten, die in einem Kubernetes-Cluster ausgeführt werden. Der k8s-Provider baute den Kubernetes-Client aus der Client-Konfiguration, die in der Anfrage des Aufrufers enthalten war, anstelle von der Operator-Konfiguration; das Erstellen und Verwenden dieses Clients könnte einen Befehl nach Wahl des Aufrufers auf dem Host des Worker Service unter dem Konto ausführen, unter dem der Server-Prozess läuft. Zwei Frontend-Operationen erreichen den Provider. CreateWorkerDeploymentVersion erfordert eine Namespace-Schreibrolle. ValidateWorkerDeploymentVersionComputeConfig ist als Leseoperation für Namespaces registriert, sodass ein authentifizierter Aufrufer mit nur einer Leserolle in einem einzelnen Namespace ihn über diesen Weg erreichen kann; dieser Pfad erfordert nicht, dass bereits eine Worker-Bereitstellung existiert. Die Ausführung erfolgt während der Validierung der eingereichten Konfiguration, daher sind keine Skalierungsentscheidungen, Task-Eingänge oder ungewöhnliche Anfrageabfolgen erforderlich. Da der Worker Service-Prozess die Persistenzanmeldeinformationen für jeden Namespace im Cluster sowie das TLS-Material des Clusters besitzt, reicht die Konsequenz über den Namespace des Aufrufers hinaus auf den gesamten Cluster. Der Provider ist in den offiziellen temporal-server-Binärdateien und Container-Images für die betroffenen Versionen vorhanden. Die Kontrolle, die ihn unzugänglich hält, ist die Compute-Provider-Ausnahmeliste (Allowlist), die dynamische Konfigurationseinstellung workercontroller.compute_providers.enabled. Bei Temporal Server 1.31.0 bis 1.31.2 verweigert diese Ausnahmeliste standardmäßig nicht: Wenn die Einstellung nicht festgelegt ist, wird die Prüfung übersprungen und jeder registrierte Compute-Provider ist erlaubt, einschließlich k8s; daher ist eine Standardbereitstellung dieser Versionen anfällig. Bei den Versionen 1.31.3 bis 1.31.x sowie ab 1.32.0 verweigert die Ausnahmeliste standardmäßig, und eine Bereitstellung ist nur dann betroffen, wenn k8s zur Liste hinzugefügt wurde. Die Release-Serie 1.30 enthält das Worker Controller Instance-Modul nicht und ist unbetroffen. Um festzustellen, ob eine Bereitstellungsinstanz anfällig ist, prüfen Sie Folgendes gemeinsam:
Die bereitgestellte Temporal Server-Version liegt in einem betroffenen Bereich. Der Worker Service wird ausgeführt (was bei der Standarddienstmenge der Fall ist, also auch in einer Standardbereitstellung). Der effektive Wert von workercontroller.compute_providers.enabled enthält k8s oder – ausschließlich für Versionen 1.31.0 bis 1.31.2 – ist nicht festgelegt; prüfen Sie sowohl den globalen Wert als auch jede namensraumbezogene Überschreibung, da eine Überschreibung k8s nur für einen einzelnen Namespace hinzufügen kann. Die Autorisierung ist konfiguriert, d.h., ein echter Authorizer und Claim Mapper sind vorhanden; eine Bereitstellung ohne Authorizer gewährt jedem Aufrufer bereits uneingeschränkten Zugriff auf jeden Namespace, sodass es keine Namesraumgrenze gibt, die hier überschritten werden könnte. Bereitstellungen mit einem benutzerdefinierten Authorizer sollten ebenfalls prüfen, ob sie ValidateWorkerDeploymentVersionComputeConfig an Aufrufer ohne Schreibzugriff im Namespace erlauben.
Die separate dynamische Konfigurationseinstellung pro Namespace workercontroller.enabled sperrt den betroffenen Pfad bei keiner der betroffenen Versionen ab.
Once again VulDB remains the best source for vulnerability data.