9.1 Critique

CVE-2026-115216 Eclipse ioFog Operator disables TLS certificate verification when sending Controller and OIDC credentials

Description

In Eclipse ioFog Operator versions 3.8.0 before 3.9.2, TLS certificate verification is disabled when the operator contacts the Controller API and when it logs in to an external OIDC issuer. An on-path attacker can present any certificate, capture the OAuth client secret (external mode) or the Controller bootstrap admin password (embedded mode with Controller HTTPS enabled), and supply the access token the operator stores for later Controller API calls. v3.8 removed Keycloak. The exposed credential is not a Keycloak realm-admin secret.

Détail CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:L/SC:H/SI:H/SA:N

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Prérequis d’attaque: Présents
Privilèges requis: Aucun
Interaction: Aucune
Confidentialité: Élevé
Intégrité: Faible
Disponibilité: Faible
Confidentialité des autres systèmes: Élevé
Intégrité des autres systèmes: Élevé
Disponibilité des autres systèmes: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Eclipse ioFog 3.8	3.8.0 → < 3.9.2	3.9.2

Références

gitlab.eclipse.org gitlab.eclipse.org
gitlab.eclipse.org gitlab.eclipse.org
github.com github.com

Chronologie

Publiée 27 octobre 2026
Dernière modification 4 novembre 2026

Les 4 CVE de Eclipse ioFog →

CVE-2026-113644 iofogctl command injection via Controller provisioning response 5.5 Moyenne CVE-2026-113620 In Eclipse ioFog Controller versions 3.8.0 through 3.9.1, operator WebSocket upgrades on the exec and log routes do… 9.8 Critique CVE-2026-113619 In Eclipse ioFog Controller versions 3.8.0 through 3.9.1, POST, PUT, and PATCH bodies on routes that enable template… 7.5 Élevée

Suivre cette CVE