CVE-2026-113620 WebSocket de operador en Eclipse ioFog acepta un JWT no verificado

Qué es CVE-2026-113620

En Eclipse ioFog Controller 3.8.0 a 3.9.1, las actualizaciones WebSocket de operador en las rutas exec y log no verifican el JWT bearer; el payload se decodifica y sus grupos o roles se usan como sujetos RBAC. Un token autogenerado cuyos grupos contengan admin coincide con el rol admin integrado, sin cuenta ni RoleBinding, y el atacante puede abrir una sesión exec o log para un microservicio o fog cuyo UUID ya conozca. Las rutas HTTP no están afectadas porque verifican el token antes del RBAC; los WebSocket de…

Productos y versiones afectadas

• Eclipse Foundation Eclipse ioFog

  • desde 3.8.0 hasta 3.9.1

Qué hacer

1. Verificá si usás Eclipse ioFog y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

In Eclipse ioFog Controller versions 3.8.0 through 3.9.1, operator WebSocket upgrades on the exec and log routes do not verify the bearer JWT. The payload is decoded and its groups or roles are used as RBAC subjects. A self-minted token whose groups contain admin matches the built-in admin role, with no account and no RoleBinding. The attacker can open an exec or log session for a microservice or fog whose UUID they already know. HTTP routes are not affected: they verify the token before RBAC. Agent WebSockets verify the fog token and are not affected.

Referencias

• gitlab.eclipse.org/security/vulnerability-reports/-/work_items/1270
• gitlab.eclipse.org/security/vulnerability-reports/-/work_items/1269
• gitlab.eclipse.org/security/vulnerability-reports/-/work_items/1267
• gitlab.eclipse.org/security/cve-assignment/-/work_items/468

Historial de la alerta

1. 20 OCT · 10:19VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.