CVE-2026-15063
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W usłudze gorch, będącej częścią trustyai-service-operator, stwierdzono lukę polegającą na tym, że nawet przy włączonym uwierzytelnianiu, usługa ta udostępnia niechronione porty metryk orkiestratora i detektora. Umożliwia to każdemu podowi w klastrze bezpośredni dostęp do tych portów z pominięciem kube-rbac-proxy i jego mechanizmów uwierzytelniania.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do metryk orkiestratora i detektora przez dowolny pod w klastrze, co może prowadzić do wycieku wrażliwych informacji o stanie i działaniu usługi.
Rekomendacja
Należy natychmiast skonfigurować reguły sieciowe (np. NetworkPolicy) blokujące dostęp do portów metryk orkiestratora i detektora dla nieuprawnionych podów oraz rozważyć aktualizację do wersji operatora zawierającej poprawkę.
Inne podatności w trustyai-service-operator
Zobacz wszystkie- CVE-2026-15467Wysokie
W kontrolerze LMEvalJob w trustyai-service-operator wykryto podatność umożliwiającą uwierzytelnionemu użytkownikowi w klastrze skonfigurowanie kontenera sidecar w celu ominięcia istniejących polityk bezpieczeństwa. Pozwala to na uruchomienie niezaufanego zdalnego kodu, co prowadzi do wykonania dowolnego kodu w klastrze.
- CVE-2026-15044Średnie
W operatorze TrustyAI Service wykryto lukę, która przy wdrażaniu usług takich jak gorch czy NemoGuardrails, przy wyłączonym odpowiednim ustawieniu bezpieczeństwa, pozwala na nieuwierzytelniony dostęp do kanałów komunikacyjnych. Umożliwia to innym programom w klastrze dostęp do barier i orkiestratora AI bez autoryzacji.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the gorch service template, which is part of the trustyai-service-operator. Even when authentication is enabled, the gorch service exposes unproxied orchestrator and detector metrics ports. This allows any pod on the cluster network to directly access these ports, bypassing the kube-rbac-proxy and its authentication mechanisms. This could lead to unauthorized access to the orchestrator and detector metrics.