CVE-2026-54680
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Logging operator przed wersją 6.6.0 zawiera podatność na wstrzyknięcie poleceń w rendererze Fluentd. Użytkownik mogący tworzyć zasoby Flow może wstrzyknąć blok <match **> z @type exec, co pozwala na wykonanie dowolnych poleceń w agregatorze Fluentd.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia w kontenerze Fluentd, co może prowadzić do przejęcia kontroli nad przetwarzaniem logów i potencjalnie całego klastra Kubernetes.
Rekomendacja
Zaktualizuj Logging operator do wersji 6.6.0 lub nowszej, która usuwa tę podatność.
Oryginalny opis (angielski, źródło NVD)
Logging operator automates the deployment and configuration of Kubernetes logging pipelines. Prior to 6.6.0, the Fluentd configuration renderer FluentRender in pkg/sdk/logging/model/render/fluent.go writes CRD strings such as Flow record_transformer.records values directly into fluent.conf without escaping, allowing a user who can create Flow resources to inject a Fluentd <match **> block using @type exec and execute arbitrary commands inside the Fluentd aggregator. This issue is fixed in version 6.6.0.