CVE-2026-110975 Divulgación de credenciales de datasources en la API REST de Kruize Autotune
La API REST de Autotune no tiene capa de autenticación y los endpoints GET /datasources y de metadatos serializan los objetos datasource con Gson sin exclusión de campos. Así, contraseñas basic-auth, tokens bearer, claves API y secretos de cliente OAuth2 se devuelven en claro a cualquier cliente con acceso de red, que puede reutilizarlos contra el stack de monitoreo.
CVSS 3.1
- Probabilidad de explotación0,3 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Qué hacer
- Verificá si usás el producto afectado.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.4 ALTA
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
- Vector de ataqueRed adyacente
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
A flaw was found in Kruize Autotune. Its REST API ships without an authentication layer, and the endpoints that return datasource configuration — the list-datasources endpoint (GET /datasources) and the datasource-metadata endpoint — serialized datasource objects using a default Gson configuration with no field-exclusion strategy. As a result, the authentication secrets stored for each configured monitoring datasource (basic-auth passwords, bearer tokens, API keys, and OAuth2 client secrets) were returned in cleartext to any client able to reach the service. An attacker with network access to Autotune could harvest these credentials and reuse them to authenticate to the backing monitoring stack.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.