CVE-2026-105312
KrytyczneCVSS 9.9Streszczenie
W Kubernetes tenant posiadający uprawnienie create na zasobach Console może ustawić spec.containers.api.spec.image na dowolny obraz kontenera. Operator wdraża ten obraz do poda, którego ServiceAccount jest powiązany przez ClusterRoleBinding z ClusterRole przyznającym szerokie uprawnienia do CRD Strimzi oraz widok monitoringu klastra. Kod atakującego odczytuje token SA i uzyskuje między-tenantowy dostęp odczytu i zapisu do płaszczyzny kontrolnej Strimzi.
Ocena ryzyka
Atakujący z niskimi uprawnieniami w jednym tenancie może przejąć kontrolę nad zasobami Strimzi innych tenantów oraz uzyskać dostęp do danych monitoringu klastra. Stanowi to poważne naruszenie izolacji wielodostępnej.
Rekomendacja
Ogranicz uprawnienia create na zasobach Console do zaufanych użytkowników oraz zweryfikuj i zawęź uprawnienia ClusterRole powiązanej z ServiceAccount operatora. Rozważ wdrożenie polityk dopuszczających tylko zaufane obrazy kontenerów.
Inne podatności w Strimzi
Zobacz wszystkie- CVE-2024-36543Krytyczne
W projekcie Strimzi w wersji 0.41.0 i wcześniejszych wykryto nieprawidłową kontrolę dostępu w interfejsie API REST Kafka Connect. Luka umożliwia atakującemu przeprowadzenie ataku DoS na mirrorowanie Kafki, potencjalne skopiowanie zawartości tematów do własnego klastra Kafki (z pominięciem list ACL) oraz kradzież poświadczeń SASL poprzez zapytania do API REST MirrorMaker.
- CVE-2026-55226Średnie
Strimzi umożliwia uruchamianie klastra Apache Kafka na Kubernetes lub OpenShift w różnych konfiguracjach. W Strimzi 1.0.0 i wcześniejszych wdrożenie tylko Topic Operator lub tylko User Operator przez zasób niestandardowy Kafka pozostawia konto usługi Entity Operator z uprawnieniami RBAC dla obu komponentów. Nadmiarowe uprawnienia mogą pozwolić na dostęp do zasobów niestandardowych KafkaUser i Sekretów, gdy User Operator jest nieobecny, lub do zasobów niestandardowych KafkaTopic, gdy Topic Operator jest nieobecny.
- CVE-2026-55225Wysokie
W Strimzi w wersji 1.0.0 i wcześniejszych atakujący mogący utworzyć zasób niestandardowy Kafka może ustawić Kafka.spec.entityOperator watchedNamespace na docelową przestrzeń nazw, powodując utworzenie przez Cluster Operator roli z pełnymi uprawnieniami CRUD do Secret w tej przestrzeni i powiązanie jej z kontem usługi Entity Operator w przestrzeni nazw atakującego. Atakujący może wygenerować token dla tego konta usługi i odczytywać lub zapisywać sekrety w dowolnej docelowej przestrzeni nazw, w której Cluster Operator ma przyznane uprawnienia, niezależnie od STRIMZI_NAMESPACE. Problem naprawiono w wersjach 1.0.1 i 1.1.0.
- CVE-2026-27134Wysokie
Podatność w Strimzi w wersjach 0.49.0 do 0.50.0 dotyczy nieprawidłowej konfiguracji zaufanych certyfikatów dla uwierzytelniania mTLS przy użyciu niestandardowego CA z wieloetapowym łańcuchem CA. Powoduje to, że wszystkie CA z łańcucha są uznawane za zaufane, co pozwala na uwierzytelnienie użytkownikom z certyfikatami podpisanymi przez dowolne CA w łańcuchu.
Oryginalny opis (angielski, źródło NVD)
A Kubernetes tenant with create permission on Console custom resources can set spec.containers.api.spec.image to an arbitrary container image. The operator deploys this image into a pod whose ServiceAccount is bound via ClusterRoleBinding to a ClusterRole granting cluster-wide get/list/watch on all Strimzi CRDs (including KafkaUsers), patch on Kafkas/KafkaRebalances, and cluster-monitoring-view. The attacker's code reads the projected SA token and gains cross-tenant Strimzi control-plane read+write access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS