CVE-2026-115216 in ioFog
Riassunto
di VulDB • 27/10/2026
In Eclipse ioFog Operator versioni 3.8.0 precedenti alla 3.9.2, la verifica del certificato TLS è disabilitata quando l'operator contatta l'API Controller e durante il login con un issuer OIDC esterno. Un attaccante on-path può presentare qualsiasi certificato, acquisire il segreto OAuth client (modalità esterna) o la password admin di bootstrap del Controller (modalità embedded con HTTPS abilitato sul Controller), e fornire il token di accesso che l'operator memorizza per chiamate successive all'API Controller. La versione 3.8 ha rimosso Keycloak. Le credenziali esposte non sono un segreto realm-admin di Keycloak.
If you want to get best quality of vulnerability data, you may have to visit VulDB.