CVE-2026-10079

WysokieCVSS 8.5

Opublikowano: 31/07/2026(UTC)Zaktualizowano: 03/08/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

W Red Hat Advanced Cluster Security for Kubernetes (RHACS) stwierdzono podatność, w której podczas przetwarzania Deploymentów Kubernetes, ACS zastępuje metadane tożsamości na podstawie etykiety openshift.io/encoded-deployment-config. Użytkownik z uprawnieniami do tworzenia Deploymentów może ustawić tę etykietę na "null", co powoduje, że ACS traktuje obciążenie jako mające pusty UID, nazwę i etykiety oraz przestrzeń nazw "default". Omija to wykrywanie zasad w czasie wdrażania i widoczność egzekwowania, uniemożliwia poprawną trwałość w Central i zakłóca raportowanie naruszeń i korelację zgodności dla danego wdrożenia.

Ocena ryzyka

Atakujący może ominąć polityki bezpieczeństwa ACS, ukrywając złośliwe wdrożenia przed wykryciem, co może prowadzić do naruszenia bezpieczeństwa klastra Kubernetes.

Rekomendacja

Należy zaktualizować RHACS do wersji zawierającej poprawkę oraz monitorować użycie etykiety openshift.io/encoded-deployment-config w Deploymentach.

Inne podatności w Red Hat Advanced Cluster Security for Kubernetes

CVE-2026-9165Wysokie
W Red Hat Advanced Cluster Security for Kubernetes (RHACS) stwierdzono brak ograniczenia głębokości zapytań GraphQL w interfejsie API Central. Uwierzytelniony użytkownik z ważnym tokenem API może wysyłać głęboko zagnieżdżone zapytania, powodując nadmierne zużycie zasobów i odmowę usługi dla płaszczyzny zarządzania.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in Red Hat Advanced Cluster Security for Kubernetes (RHACS). When processing Kubernetes Deployments, ACS replaces deployment identity metadata based on the openshift.io/encoded-deployment-config label. A user with permission to create Deployments can set this label to "null", causing ACS to treat the workload as having empty UID, name and labels and namespace "default". This bypasses deploy-time policy detection and enforcement visibility, prevents correct persistence in Central and breaks violation reporting and compliance correlation for the affected deployment.