CVE-2026-21994

सारांश

Oracle OKIT (oci-designer-toolkit) संस्करण 0.3.0 में दो गंभीर गलत कॉन्फ़िगरेशन हैं जो एक साथ मिलकर बिना प्रमाणीकरण के पूर्ण अधिग्रहण (full takeover) की स्थिति बनाते हैं। सार्वजनिक रिपॉजिटरी में उजागर एक हार्डकोडेड Flask SECRET_KEY किसी भी हमलावर को वैध एडमिन सत्र कुकी (session cookie) बनाने की अनुमति देता है — बिना किसी क्रेडेंशियल की आवश्यकता के। इसके अलावा, Docker इमेज SSH होस्ट सत्यापन को पूरी तरह से अक्षम कर देती है, जिससे नेटवर्क हमलावर इंफ्रास्ट्रक्चर डिप्लॉयमेंट के दौरान OCI API कुंजियों और निजी कुंजियों को इंटरसेप्ट कर सकता है।

भेद्यता

1. हार्डकोडेड SECRET_KEY — okitclassic/okitserver/config.py:4

SECRET_KEY='8980ffsd675747jjjh'

Flask इस कुंजी का उपयोग सत्र कुकीज़ पर हस्ताक्षर करने के लिए करता है। चूंकि यह एक सार्वजनिक रिपॉजिटरी में हार्डकोडेड है, एक हमलावर बिना किसी क्रेडेंशियल के वैध एडमिन कुकी बना सकता है और OKIT डैशबोर्ड तक पहुंच सकता है।

2. SSH होस्ट सत्यापन अक्षम —