Veille sécuritéBackend & données
P3Élevée
Dans Apache Karaf, les opérations JMX `createMBean`, `registerMBean` et `unregisterMBean` échappaient au contrôle d’accès fondé sur les rôles, ce qui pouvait permettre à un utilisateur JMX authentifié, y compris avec le rôle « viewer », de charger du code à distance dans la JVM. La correction ajoute ces opérations aux vérifications RBAC et réserve leur accès au rôle « admin » par défaut.
Java
IdentifiantCVE-2026-92142
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifApache Karaf 4.4.12 ou 4.5.0 (ou versions ultérieures)
Source : NVD — CVE-2026-92142
Analyse technique
Le contrôle RBAC omettait plusieurs opérations de cycle de vie des MBeans. Le chemin de chargement via `javax.management.loading.MLet` pouvait ensuite permettre l’exécution de code dans la JVM Karaf.
Impact, versions et correctif
Événement datéRetenu comme mise à jour substantielle de la fiche NVD dans la période : l’horodatage de modification fourni est 2026-10-07T20:07:16.547Z, soit 2026-10-07T22:07:16.547+02:00. La publication initiale du 2026-09-29 est antérieure à la période; l’événement retenu est la mise à jour substantielle, et non une nouvelle publication.
ImpactUn utilisateur authentifié sur JMX disposant d’un rôle peu privilégié pouvait contourner certaines vérifications RBAC et atteindre l’exécution de code à distance dans la JVM Karaf.
Version corrigéeApache Karaf 4.4.12 ou 4.5.0 (ou versions ultérieures)
ContournementLimiter l’accès réseau aux ports JMX RMI 1099 et 44444 aux hôtes de confiance et éviter d’attribuer des identifiants JMX non-admin jusqu’à la mise à niveau.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,52% · percentile 42,2%
Publication2026-09-29T09:17:10.497Z
Mise à jour2026-10-07T22:07:16.547+02:00
Action recommandée
Mettre à niveau vers Apache Karaf 4.4.12 ou 4.5.0, ou une version ultérieure. En attendant, restreindre l’accès aux ports JMX concernés et n’accorder le rôle admin qu’aux utilisateurs de confiance.
Sources
Priorisation DFS : P3 · 1 source(s).