CVE-2026-19274

KrytyczneCVSS 9.6

Opublikowano: 04/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Streszczenie

IBM Observability with Instana (Agent) Build 1.0.303 do 1.0.323 IBM Instana Agent Operator może pozwolić uwierzytelnionemu tenantowi Kubernetes na przejęcie lub trwałe zniszczenie uprawnień RBAC na poziomie klastra innego tenanta, z powodu obiektów RBAC o zasięgu klastrowym kluczowanych wyłącznie nazwą CR bez rozróżnienia przestrzeni nazw.

Ocena ryzyka

Atakujący tenant może nadpisać lub usunąć współdzielone ClusterRoleBinding, co może doprowadzić do utraty dostępu do monitorowania klastra przez ofiarę lub eskalacji uprawnień.

Rekomendacja

Zaktualizuj IBM Instana Agent Operator do wersji z poprawką lub zastosuj środki ograniczające, takie jak kontrola dostępu oparta na przestrzeniach nazw.

Inne podatności w IBM Instana Agent Operator

CVE-2026-19283Wysokie
IBM Observability with Instana (Agent) Build 1.0.303 do 1.0.323 oraz IBM Instana Agent Operator mogą pozwolić uwierzytelnionemu zdalnemu atakującemu na uzyskanie wrażliwych informacji z powodu braku walidacji docelowej przestrzeni nazw podczas kopiowania poświadczeń klienta etcd mTLS z systemowej przestrzeni nazw openshift-etcd do przestrzeni nazw kontrolowanej przez atakującego.

Oryginalny opis (angielski, źródło NVD)

IBM Observability with Instana (Agent) Build 1.0.303 through 1.0.323 IBM Instana Agent Operator could allow an authenticated Kubernetes tenant to hijack or permanently destroy another tenant's cluster-level RBAC permissions, caused by cluster-scoped RBAC objects being keyed solely by the bare CR name with no namespace disambiguation, allowing a same-named `InstanaAgent` CR in an attacker-controlled namespace to silently overwrite the shared `ClusterRoleBinding` or delete it outright and revoke the victim agent's cluster monitoring access.