CVE-2026-15467
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W kontrolerze LMEvalJob w trustyai-service-operator wykryto podatność umożliwiającą uwierzytelnionemu użytkownikowi w klastrze skonfigurowanie kontenera sidecar w celu ominięcia istniejących polityk bezpieczeństwa. Pozwala to na uruchomienie niezaufanego zdalnego kodu, co prowadzi do wykonania dowolnego kodu w klastrze.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania dowolnego kodu w klastrze, co może prowadzić do przejęcia zasobów i naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się ograniczenie uprawnień użytkowników do konfigurowania kontenerów sidecar oraz wzmocnienie polityk bezpieczeństwa w klastrze.
Inne podatności w trustyai-service-operator
Zobacz wszystkie- CVE-2026-15063Średnie
W usłudze gorch, będącej częścią trustyai-service-operator, stwierdzono lukę polegającą na tym, że nawet przy włączonym uwierzytelnianiu, usługa ta udostępnia niechronione porty metryk orkiestratora i detektora. Umożliwia to każdemu podowi w klastrze bezpośredni dostęp do tych portów z pominięciem kube-rbac-proxy i jego mechanizmów uwierzytelniania.
- CVE-2026-15044Średnie
W operatorze TrustyAI Service wykryto lukę, która przy wdrażaniu usług takich jak gorch czy NemoGuardrails, przy wyłączonym odpowiednim ustawieniu bezpieczeństwa, pozwala na nieuwierzytelniony dostęp do kanałów komunikacyjnych. Umożliwia to innym programom w klastrze dostęp do barier i orkiestratora AI bez autoryzacji.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the trustyai-service-operator's LMEvalJob controller. An authenticated user within the cluster can exploit this vulnerability by configuring a sidecar container to bypass existing security policies. This allows the user to enable and execute untrusted remote code, leading to arbitrary code execution within the cluster.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS