CVE-2026-19283

WysokieCVSS 7.7

Opublikowano: 04/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Streszczenie

IBM Observability with Instana (Agent) Build 1.0.303 do 1.0.323 oraz IBM Instana Agent Operator mogą pozwolić uwierzytelnionemu zdalnemu atakującemu na uzyskanie wrażliwych informacji z powodu braku walidacji docelowej przestrzeni nazw podczas kopiowania poświadczeń klienta etcd mTLS z systemowej przestrzeni nazw openshift-etcd do przestrzeni nazw kontrolowanej przez atakującego.

Ocena ryzyka

Atakujący może uzyskać poświadczenia mTLS etcd, co może umożliwić nieautoryzowany dostęp do danych etcd lub zakłócenie działania klastra.

Rekomendacja

Zaktualizuj IBM Instana Agent Operator do wersji nowszej niż 1.0.323 lub zastosuj poprawki wymuszające walidację docelowej przestrzeni nazw.

Inne podatności w IBM Instana Agent Operator

CVE-2026-19274Krytyczne
IBM Observability with Instana (Agent) Build 1.0.303 do 1.0.323 IBM Instana Agent Operator może pozwolić uwierzytelnionemu tenantowi Kubernetes na przejęcie lub trwałe zniszczenie uprawnień RBAC na poziomie klastra innego tenanta, z powodu obiektów RBAC o zasięgu klastrowym kluczowanych wyłącznie nazwą CR bez rozróżnienia przestrzeni nazw.

Oryginalny opis (angielski, źródło NVD)

IBM Observability with Instana (Agent) Build 1.0.303 through 1.0.323 IBM Instana Agent Operator could allow an authenticated remote attacker to obtain sensitive information, caused by missing destination namespace validation when copying etcd mTLS client credentials from the openshift-etcd system namespace into an attacker-controlled namespace.