CVE-2026-5724

सारांश

फ्रंटएंड gRPC सर्वर की स्ट्रीमिंग इंटरसेप्टर श्रृंखला में प्राधिकरण इंटरसेप्टर शामिल नहीं था। जब ClaimMapper और Authorizer कॉन्फ़िगर किए जाते हैं, तो unary RPCs प्रमाणीकरण और प्राधिकरण लागू करते हैं, लेकिन स्ट्रीमिंग AdminService/StreamWorkflowReplicationMessages एंडपॉइंट बिना क्रेडेंशियल्स के अनुरोध स्वीकार करता था। यह एंडपॉइंट WorkflowService के समान पोर्ट पर पंजीकृत है और इसे स्वतंत्र रूप से अक्षम नहीं किया जा सकता। फ्रंटएंड पोर्ट तक नेटवर्क पहुंच रखने वाला हमलावर बिना प्रमाणीकरण के प्रतिकृति स्ट्रीम खोल सकता था। डेटा निष्कासन संभव है, लेकिन केवल तब जब कोई कॉन्फ़िगर किया गया प्रतिकृति लक्ष्य सही ढंग से कॉन्फ़िगर किया गया हो और हमलावर को क्लस्टर कॉन्फ़िगरेशन की जानकारी हो, क्योंकि हिस्ट्री सर्विस प्रतिकृति डेटा लौटाने से पहले क्लस्टर आईडी और पीयर सदस्यता को सत्यापित करती है। फिक्स प्रत्येक रिलीज़ लाइन के अनुसार लागू किया गया था: यह 1.28.4, 1.29.6, 1.30.4, 1.31.2, और 1.32.0 तथा प्रत्येक लाइन के बाद के रिलीज़ में मौजूद है। रिलीज़ 1.31.0 और 1.31.1 में फिक्स शामिल नहीं है और वे प्रभावित हैं। Temporal Cloud प्रभावित नहीं है।

• CVE-2026-5724PoC

  CVE-2026-5724 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, Temporal के फ्रंटएंड gRPC सेवा में एक प्रमाणीकरण बायपास जो वर्कफ़्लो प्रतिकृति डेटा तक अनधिकृत पहुंच की अनुमति देता है।