CVE-2026-17107
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W komponencie service-proxy w Red Hat Advanced Cluster Management for Kubernetes (RHACM) i multicluster-engine (MCE), serwer proxy dodaje nagłówki personifikacji do żądań bez usuwania wartości dostarczonych przez wywołującego. Uwierzytelniony podmiot z koncentratora może wstrzyknąć nagłówek Impersonate-Group, aby eskalować do cluster-admin na każdym zarządzanym klastrze.
Ocena ryzyka
Organizacja ryzykuje, że uwierzytelniony użytkownik może uzyskać pełną kontrolę administracyjną nad wszystkimi zarządzanymi klastrami, co prowadzi do całkowitego naruszenia bezpieczeństwa środowiska Kubernetes.
Rekomendacja
Zaleca się natychmiastową aktualizację RHACM i MCE do wersji zawierającej poprawkę dla tej podatności.
Inne podatności w Red Hat Advanced Cluster Management for Kubernetes
Zobacz wszystkie- CVE-2026-10090Krytyczne
Wada w kontrolerze subskrypcji aplikacji (multicluster-operators-subscription) Red Hat Advanced Cluster Management for Kubernetes (ACM) pozwala użytkownikowi z uprawnieniami "edit" w przestrzeni nazw ACM hub na utworzenie zasobu Channel wskazującego na kontrolowane repozytorium Helm oraz zasobu Subscription. Kontroler pobiera i stosuje zawartość wykresu Helm z własnymi podwyższonymi uprawnieniami, bez weryfikacji, czy twórca subskrypcji posiada rolę "open-cluster-management:subscription-admin" i bez ograniczania stosowanych zasobów do przestrzeni nazw subskrypcji. Pozwala to atakującemu na umieszczenie w wykresie Helm zasobów klastrowych, takich jak ClusterRoleBinding przyznający ServiceAccount atakującego rolę "cluster-admin". Skuteczna eksploatacja prowadzi do pełnej eskalacji uprawnień do poziomu cluster-admin.
- CVE-2026-66787Wysokie
W komponencie lighthouse w Red Hat Advanced Cluster Management for Kubernetes stwierdzono podatność wynikającą z niewystarczającej walidacji reklamowanych adresów IP w obiektach EndpointSlice. Zaatakowany klaster spoke może tworzyć EndpointSlices z adresami IP kontrolowanymi przez atakującego, co powoduje przekierowanie ruchu usług między klastrami do złośliwych punktów końcowych. Umożliwia to przeprowadzenie ataku Man-in-the-Middle na komunikację między klastrami.
- CVE-2026-75485Średnie
W komponencie must-gather Red Hat Advanced Cluster Management for Kubernetes obiekt Proxy klastra jest zrzucany w surowej formie, z pominięciem redakcji oc inspect, która normalnie usuwa wrażliwe pola. To ujawnia poświadczenia basic-auth proxy w archiwum must-gather, potencjalnie ujawniając poufne informacje uwierzytelniające każdemu, kto ma dostęp do archiwum.
- CVE-2026-73834Średnie
W komponencie must-gather Red Hat Advanced Cluster Management for Kubernetes niektóre niestandardowe zasoby ACM, które zawierają dane Secret, są zbierane bez redakcji. Gdy administrator uruchamia must-gather, poświadczenia i tokeny są przechwytywane w postaci jawnego tekstu w wynikowym archiwum, co może ujawnić wrażliwe informacje każdemu, kto ma dostęp do archiwum.
- CVE-2026-66793Wysokie
W komponencie governance-policy-addon-controller Red Hat Advanced Cluster Management for Kubernetes, użytkownik z uprawnieniami do adnotacji zasobu namespaced ManagedClusterAddOn może nadpisać obraz kontenera polityki zarządzania. Pozwala to atakującemu uruchomić kontrolowany obraz z uprawnieniami cluster-admin na zarządzanym klastrze, co prowadzi do wykonania dowolnego kodu i eskalacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the cluster-proxy service-proxy component used in Red Hat Advanced Cluster Management for Kubernetes (RHACM) and multicluster-engine (MCE). The service-proxy appends impersonation group headers to proxied requests without first removing caller-supplied values, and the spoke ServiceAccount holds unrestricted impersonation permissions. An authenticated hub principal can inject an Impersonate-Group header to escalate to cluster-admin on every managed cluster.