CVE-2026-45760
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Apache Camel K zawiera podatność polegającą na zewnętrznie kontrolowanym odwołaniu do zasobu w innej sferze oraz obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika. Autoryzowani użytkownicy w przestrzeni nazw Kubernetes mogą utworzyć zasób Build, kontrolując generowanie Podów w wybranej przez siebie przestrzeni nazw, w tym w przestrzeni operatora.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień i potencjalne przejęcie kontroli nad przestrzenią nazw operatora, co może prowadzić do naruszenia bezpieczeństwa całego klastra Kubernetes.
Rekomendacja
Należy zaktualizować Apache Camel K do wersji 2.10.1 (lub 2.8.1 lub 2.9.2), które zawierają poprawkę.
Inne podatności w Apache Camel K
Zobacz wszystkie- CVE-2026-80352Krytyczne
Podatność typu code injection (niewłaściwa kontrola generowania kodu) w Apache Camel K. Wstrzyknięcie YAML w konfiguracji zasobu niestandardowego pozwala uprawnionemu autorowi CR na wstrzyknięcie dowolnych obiektów Kubernetes, co może umożliwić nieautoryzowane tworzenie zasobów z uprawnieniami operatora. Problem dotyczy wersji od 2.0.0 przed 2.9.3 oraz od 2.10.1 przed 2.10.2.
- CVE-2026-80351Krytyczne
Podatność typu eval injection (niewłaściwa neutralizacja dyrektyw w dynamicznie ewaluowanym kodzie) w Apache Camel K. Niewłaściwa neutralizacja dyrektyw w dynamicznie ewaluowanej konfiguracji Maven pozwala treści repozytorium kontrolowanej przez najemcę wpływać na wykonanie kodu w podzie operatora, co może umożliwić najemcom wykonanie dowolnego kodu z uprawnieniami operatora. Problem dotyczy wersji od 2.0.0 przed 2.9.3 oraz od 2.10.1 przed 2.10.2.
- CVE-2026-80354Wysokie
Podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika w Apache Camel K. Dzięki niej najemca może odwołać się do sekretów po nazwie w przestrzeni nazw operatora, co może ujawnić sekrety należące do innych najemców lub komponentów operatora. Problem dotyczy wersji od 2.0.0 przed 2.9.3 oraz od 2.10.1 przed 2.10.2.
Oryginalny opis (angielski, źródło NVD)
(Externally Controlled Reference to a Resource in Another Sphere), (Authorization Bypass Through User-Controlled Key) vulnerability in Apache Camel K. Authorized users in a Kubernetes namespace can create a Build resource, controlling the Pod generation in a namespace of their choice, including the operator namespace. This issue affects Apache Camel K: from 2.0.0 before 2.8.1, from 2.9.0 before 2.9.2, from 2.10.0 before 2.10.1. Users are recommended to upgrade to version 2.10.1 (or 2.8.1 or 2.9.2), which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS