CVE-2026-19130
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W komponencie provider-credential-controller w multicluster-engine (MCE) znaleziono błąd. Atakujący z określonymi uprawnieniami na klastrze hub i znajomością poprzedniej wartości poświadczeń może wykorzystać obejście autoryzacji. Manipulując etykietami `copiedFrom`, atakujący może przechwycić nowo rotowane poświadczenia dostawcy, prowadząc do nieautoryzowanego ujawnienia informacji.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do wrażliwych poświadczeń, co może prowadzić do kompromitacji klastra.
Rekomendacja
Zaktualizuj multicluster-engine do wersji zawierającej poprawkę obejścia autoryzacji.
Inne podatności w multicluster-engine
Zobacz wszystkie- CVE-2026-73266Wysokie
W komponencie clusterclaims-controller w Multicluster Engine (MCE) znaleziono błąd. Uwierzytelniony najemca może wykorzystać tę podatność, manipulując etykietami ClusterClaim. Pozwala to najemcy na wymuszenie dołączenia klastra do ManagedClusterSet należącego do innego najemcy. Taki nieautoryzowany dostęp może umożliwić wstrzykiwanie polityk i obciążeń do klastrów innych najemców.
- CVE-2026-7163Średnie
W interfejsie REST assisted-service (opcjonalny komponent Assisted Installer w Multicluster Engine) uwierzytelniony użytkownik z minimalnymi uprawnieniami w przestrzeni nazw może uzyskać poświadczenia administracyjne dla dowolnego klastra OpenShift provisionowanego przez hub. Punkt końcowy pobierania poświadczeń (GET /v2/clusters/{cluster_id}/credentials) oraz kubeconfig działają w trybie AUTH_TYPE=local, który bezwarunkowo przyznaje pełny dostęp administracyjny każdemu żądaniu z ważnym JWT. Lokalny JWT jest osadzony jako jawny parametr zapytania w InfraEnvStatus.ISODownloadURL i jest odczytywalny przez każdego użytkownika z prawem get na obiekcie InfraEnv w swojej przestrzeni nazw.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the provider-credential-controller component of multicluster-engine (MCE). An attacker with specific permissions on the hub cluster, and knowledge of a prior credential value, could exploit an authorization bypass vulnerability. By manipulating `copiedFrom` labels, the attacker could intercept newly rotated provider credentials, leading to unauthorized information disclosure. This allows access to sensitive credentials that should otherwise be protected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS