Aviso de 28 de setembro de 2026 relata escalonamento de privilégios a administrador no Apache Karaf anterior à versão 4.4.12, devido à ausência de uma regra de ACL para config:install.
Publicado em 28 de setembro de 2026, o aviso sobre a CVE-2026-91085 classifica como moderada uma falha no Apache Karaf anterior à versão 4.4.12. O problema envolve o comando config:install e uma regra de ACL ausente, que pode permitir escalonamento de privilégios a administrador.
Segundo o texto, os comandos shell/SSH são protegidos por arquivos de configuração de ACL por escopo. A verificação descrita não encontra uma regra correspondente ao comando e, nesse caso, falha de forma permissiva. O material é uma tradução automática de conteúdo do feed oss-sec; consulte a publicação original no arquivo do feed e confira a versão do Karaf e os detalhes técnicos antes de decidir como agir. O trecho disponível não informa medidas de correção além da referência à versão 4.4.12.