CVE-2026-18618
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W ml-metadata wykryto przestarzały statycznie linkowany stos gRPC, podatny na znane problemy DoS HTTP/2. Atakujący z poziomu klastra, mający dostęp sieciowy do poda MLMD, może wysłać spreparowane żądania HTTP/2, co może doprowadzić do awarii poda i zakłócenia działania potoków w przestrzeni nazw.
Ocena ryzyka
Ryzyko polega na możliwości wywołania odmowy usługi (DoS) w środowisku MLMD, co może zatrzymać wszystkie uruchomione potoki i wpłynąć na dostępność usług.
Rekomendacja
Zaleca się zaktualizowanie ml-metadata do wersji zawierającej poprawioną wersję gRPC oraz ograniczenie dostępu sieciowego do poda MLMD.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in ml-metadata. The statically-linked gRPC stack in ml-metadata is outdated, making it vulnerable to known HTTP/2 denial of service (DoS) issues. An in-cluster attacker, with network access to the MLMD pod, could exploit these vulnerabilities by sending specially crafted HTTP/2 requests. This could lead to a denial of service by crashing the MLMD pod, disrupting all pipeline runs in the affected namespace.