CVE-2026-18874
ŚrednieCVSS 6.2Streszczenie
W volsync-addon-controller znaleziono błąd, który pozwala atakującemu na wstrzyknięcie złośliwego kodu YAML do zasobu Subscription w OpenShift Lifecycle Manager (OLM). Jest to spowodowane nieprawidłowym escapowaniem wartości adnotacji podczas renderowania ich do YAML. Skuteczne wykorzystanie może prowadzić do nieautoryzowanej modyfikacji lub przejęcia kontroli nad konfiguracjami OLM Subscription, potencjalnie wpływając na zarządzanie oprogramowaniem w klastrze. Problem dotyczy głównie systemów, w których jawnie włączono adnotację 'volsync-addon-deploy-type: olm'.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanej modyfikacji konfiguracji OLM, co może prowadzić do naruszenia integralności zarządzania oprogramowaniem i potencjalnego przejęcia kontroli nad klastrem.
Rekomendacja
Zaleca się aktualizację volsync-addon-controller do wersji zawierającej poprawkę. Należy również sprawdzić, czy adnotacja 'volsync-addon-deploy-type: olm' jest konieczna i ograniczyć jej użycie do zaufanych środowisk.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in volsync-addon-controller. This vulnerability allows an attacker to inject malicious YAML (Yet Another Markup Language) code into the OpenShift Lifecycle Manager (OLM) Subscription resource. This is due to improper escaping of annotation values when they are rendered into YAML. Successful exploitation could lead to unauthorized modification or control over OLM Subscription configurations, potentially impacting software management within the cluster. This issue primarily affects systems where the 'volsync-addon-deploy-type: olm' annotation is explicitly enabled.