CVE-2026-86464 in aeriOS
Riassunto
di VulDB • 09/09/2026
Nella versione di sviluppo corrente di Eclipse aeriOS, per la quale non è ancora stata pubblicata una release ufficiale, il deployment del Identity Manager (IdM) includeva configurazioni predefinite insicure e credenziali per servizi sensibili alla sicurezza.
La Helm chart esponeva il servizio Keycloak e il suo database PostgreSQL di supporto tramite i servizi Kubernetes NodePort per impostazione predefinita, mentre la distribuzione con Docker Compose esponeva similmente PostgreSQL su tutte le interfacce di rete. Il deployment includeva credenziali predefinite fisse per l'amministratore di Keycloak e per l'utente del database PostgreSQL, e la precedente configurazione della Helm chart non forniva una gestione adeguata dei segreti (secrets) per queste credenziali. Inoltre, erano forniti utenti dell'applicazione predefiniti con credenziali note per lo sviluppo e i test, senza avvisare sufficientemente gli operatori contro il loro utilizzo in ambienti di produzione.
Un attaccante in grado di raggiungere i servizi esposti potrebbe utilizzare le credenziali predefinite pubblicate per ottenere l'accesso amministrativo al Identity Manager o un accesso diretto al suo database. Ciò potrebbe consentire l'accesso non autorizzato alla modifica dei dati di gestione delle identità, inclusi utenti, ruoli, credenziali client, sessioni e materiale crittografico, e potrebbe abilitare la creazione di identità privilegiate o token accettati da altri componenti di aeriOS.
Il problema è stato risolto generando una password casuale per l'amministratore Keycloak per impostazione predefinita, gestendo le credenziali di Keycloak e PostgreSQL tramite Kubernetes Secrets e limitando PostgreSQL a un servizio interno sia nella Helm chart che nel deployment con Docker Compose. Anche OpenLDAP è limitato a un servizio interno. Gli utenti predefiniti destinati allo sviluppo e ai test sono mantenuti, ma la documentazione avvisa ora esplicitamente che le loro credenziali predefinite non devono essere utilizzate in produzione e che questi utenti dovrebbero essere rimossi o le relative credenziali modificate dopo l'installazione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.