CVE-2026-45726
WysokieCVSS 7.6Streszczenie
W Omni (zarządzanie Kubernetes na bare metal, maszynach wirtualnych lub w chmurze) od wersji 1.3.0 do 1.6.6 i 1.7.3 importowanie samodzielnego klastra Talos tworzy zasób ImportedClusterSecrets zawierający pełny pakiet sekretów CA klastra. Reguły dostępu w internal/backend/runtime/omni/state_access.go pozwalają uwierzytelnionemu użytkownikowi z rolą Reader na pobranie tego zasobu przez ResourceService, jeśli importujący nie obrócił tych sekretów, ujawniając klucze prywatne CA Kubernetes, Talos i etcd oraz klucz konta usługi. Luka jest naprawiona w wersjach 1.6.6 i 1.7.3.
Ocena ryzyka
Ujawnienie klucza prywatnego CA Kubernetes pozwala na podpisywanie certyfikatów dla uprzywilejowanych tożsamości, takich jak system:masters, i przejęcie kontroli nad importowanym klastrem poza granicami autoryzacji Omni, w tym nad jego obciążeniami, poświadczeniami i sekretami.
Rekomendacja
Zaktualizuj Omni do wersji 1.6.6 lub 1.7.3. Jeśli importowano samodzielny klaster Talos, obróć sekrety CA klastra i zweryfikuj, czy nie doszło do nieautoryzowanego dostępu.
Inne podatności w Omni
Zobacz wszystkie- CVE-2026-45723Niskie
W Omni przed wersjami 1.6.6 i 1.7.3 funkcja managementServer.CreateSchematic w pliku internal/backend/grpc/schematics.go przekazuje kontrolowane przez wywołującego pole TalosVersion do imageFactoryClient.OverlaysVersions bez walidacji jako wersji. Uwierzytelniony Operator może przesłać segmenty przejścia ścieżki w TalosVersion, które url.URL.JoinPath normalizuje do nieoczekiwanych ścieżek na hoście image-factory. Omni wykonuje żądania HTTP GET do tych ścieżek i odzwierciedla treść błędów, umożliwiając sondowanie punktów końcowych na tym samym hoście i możliwe ujawnienie wewnętrznych informacji diagnostycznych.
- CVE-2026-45720Wysokie
W Omni przed wersją 1.6.6 oraz od 1.7.0 do 1.7.3 funkcja SAML.getSession w internal/pkg/auth/interceptor/saml.go sprawdza SAMLAssertion.Used i oznacza ją jako używaną w oddzielnych operacjach stanu. Równoległe żądania z tym samym przechwyconym tokenem saml-session mogą każde zaobserwować asercję jako nieużywaną i uzyskać uwierzytelnienie jako ofiara, zanim którakolwiek aktualizacja stanie się widoczna. Luka jest naprawiona w wersjach 1.6.6 i 1.7.3.
Oryginalny opis (angielski, źródło NVD)
Omni manages Kubernetes on bare metal, virtual machines, or in a cloud. From 1.3.0 until 1.6.6 and 1.7.3, importing a standalone Talos cluster creates an ImportedClusterSecrets resource containing the cluster's complete CA secrets bundle. The access rules in internal/backend/runtime/omni/state_access.go allow an authenticated user with the Reader role to retrieve the resource through ResourceService if the importing actor has not rotated those secrets, exposing Kubernetes, Talos, and etcd CA private keys plus the service-account key. The Kubernetes CA private key permits certificate signing for privileged identities such as system:masters and provides control of the imported cluster outside Omni's authorization boundary, including its workloads, credentials, and secrets. This issue is fixed in versions 1.6.6 and 1.7.3.