CVE-2026-81664 in OpenFaaS
요약
\~에 의해 VulDB • 2026. 08. 27.
OpenFaaS의 게이트웨이는 gateway/main.go에서 GET /system/telemetry를 등록하며, 기본 인증(basic_auth)이 활성화된 경우 각 관리용 /system/* 핸들러를 auth.DecorateWithBasicAuth로 감쌉니다. TelemetryHandler는 해당 라우트가 도입된 0.27.11부터 추가된 0.27.14까지 이 감싸기 블록에서 제외되었습니다. 따라서 영향받는 게이트웨이에서는 해당 라우트가 자격 증명 확인 없이 포워딩 프록시에 도달하며, 구성된 제공자가 /system/telemetry에 대해 반환하는 내용을 그대로 반환합니다. 이로 인해 게이트웨이 포트에 접근할 수 있는 모든 클라이언트는 기본 인증 설정과 무관하게 제공자의 텔레메트리를 읽을 수 있습니다. 노출된 콘텐츠는 제공자에 따라 다르며, faasd의 리소스 및 호출 메트릭, 그리고 faas-netes의 파드 또는 클러스터 상태를 포함합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.