CVE-2026-18611
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W operatorze Data Science Pipelines wykryto podatność polegającą na generowaniu przewidywalnych poświadczeń (np. haseł MariaDB, kluczy MinIO) przy użyciu kryptograficznie słabego generatora liczb pseudolosowych (PRNG). Nieuwierzytelniony atakujący, mający dostęp do trasy MinIO lub usługi MariaDB, może odgadnąć te poświadczenia i uzyskać nieautoryzowany dostęp do wszystkich artefaktów i metadanych potoków.
Ocena ryzyka
Ryzyko obejmuje znaczący wyciek informacji oraz nieautoryzowany dostęp do danych potoków, co może naruszyć poufność i integralność danych.
Rekomendacja
Zaleca się aktualizację operatora do wersji używającej bezpiecznego generatora liczb losowych oraz rotację wszystkich wygenerowanych poświadczeń.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the Data Science Pipelines Operator. This vulnerability allows an unauthenticated attacker to derive sensitive credentials, such as MariaDB root/user passwords and MinIO access/secret keys, if they can access the MinIO Route or MariaDB Service. The flaw occurs because the operator uses a cryptographically weak pseudo-random number generator (PRNG) to generate these credentials, making them predictable. Successful exploitation could lead to unauthorized access to all pipeline artifacts and metadata, resulting in significant information disclosure.