CVE-2026-10079
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Red Hat Advanced Cluster Security for Kubernetes (RHACS) stwierdzono podatność, w której podczas przetwarzania Deploymentów Kubernetes, ACS zastępuje metadane tożsamości na podstawie etykiety openshift.io/encoded-deployment-config. Użytkownik z uprawnieniami do tworzenia Deploymentów może ustawić tę etykietę na "null", co powoduje, że ACS traktuje obciążenie jako mające pusty UID, nazwę i etykiety oraz przestrzeń nazw "default". Omija to wykrywanie zasad w czasie wdrażania i widoczność egzekwowania, uniemożliwia poprawną trwałość w Central i zakłóca raportowanie naruszeń i korelację zgodności dla danego wdrożenia.
Ocena ryzyka
Atakujący może ominąć polityki bezpieczeństwa ACS, ukrywając złośliwe wdrożenia przed wykryciem, co może prowadzić do naruszenia bezpieczeństwa klastra Kubernetes.
Rekomendacja
Należy zaktualizować RHACS do wersji zawierającej poprawkę oraz monitorować użycie etykiety openshift.io/encoded-deployment-config w Deploymentach.
Inne podatności w Red Hat Advanced Cluster Security for Kubernetes
Zobacz wszystkie- CVE-2026-103314Wysokie
W Red Hat Advanced Cluster Security for Kubernetes (RHACS) punkt końcowy Central SAML ACS nie przechowuje identyfikatorów użytych asercji lub odpowiedzi SAML, co uniemożliwia zapobieganie powtórzeniu. Atakujący, który uzyska ważną, niewygasłą podpisaną odpowiedź SAML, może przesłać ją wielokrotnie i otrzymać różne tokeny uwierzytelniające Central dla zmapowanej tożsamości.
- CVE-2026-9165Wysokie
W Red Hat Advanced Cluster Security for Kubernetes (RHACS) stwierdzono brak ograniczenia głębokości zapytań GraphQL w interfejsie API Central. Uwierzytelniony użytkownik z ważnym tokenem API może wysyłać głęboko zagnieżdżone zapytania, powodując nadmierne zużycie zasobów i odmowę usługi dla płaszczyzny zarządzania.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Red Hat Advanced Cluster Security for Kubernetes (RHACS). When processing Kubernetes Deployments, ACS replaces deployment identity metadata based on the openshift.io/encoded-deployment-config label. A user with permission to create Deployments can set this label to "null", causing ACS to treat the workload as having empty UID, name and labels and namespace "default". This bypasses deploy-time policy detection and enforcement visibility, prevents correct persistence in Central and breaks violation reporting and compliance correlation for the affected deployment.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS