¿Qué es CVE-2026-120091 y cómo funciona?
CVE-2026-120091 es una vulnerabilidad de alta gravedad con una puntuación CVSS de 8.7 que afecta a Temporal Server analizado previamente en otros reportes de seguridad. El fallo se localiza en el módulo Worker Controller Instance (go.temporal.io/auto-scaled-workers), compilado dentro del servicio de workers para gestionar cargas en Kubernetes.
El proveedor k8s construía su cliente de Kubernetes utilizando la configuración suministrada por el solicitante en lugar de la configuración del operador. Esto permitía la ejecución de comandos arbitrarios en el host del servicio bajo la cuenta de proceso del servidor.
¿A quién afecta y cuál es el alcance del riesgo?
Dos operaciones del frontend alcanzan este proveedor: CreateWorkerDeploymentVersion y ValidateWorkerDeploymentVersionComputeConfig. La segunda está registrada como una operación de solo lectura evidenciando fallas similares de control de acceso, lo que permite que un llamador autenticado con rol de lectura acceda sin requerir despliegues previos.
Debido a que el proceso del Worker Service mantiene las credenciales de persistencia y materiales TLS de todo el clúster, el impacto compromete la seguridad global más allá del espacio de nombres del usuario afectando a arquitecturas completas.
¿Cómo me protejo?
Para mitigar este riesgo de forma efectiva, los operadores deben aplicar las actualizaciones correspondientes y revisar los ajustes de configuración dinámica. Siga estos pasos para asegurar su despliegue:
- Actualice Temporal Server a la versión v1.31.5 o superior de la línea 1.31.
- Actualice Temporal Server a la versión v1.32.2 o superior de la línea 1.32.
- Verifique si su versión se encuentra entre 1.31.0 y 1.31.2, donde las listas de control no deniegan por defecto.
- Compruebe el valor efectivo de workercontroller.compute_providers.enabled globalmente y en cada espacio de nombres.
- Valide que los autorizadores personalizados restrinjan adecuadamente el acceso a ValidateWorkerDeploymentVersionComputeConfig.