CVE-2026-66780
KrytyczneCVSS 9.9Streszczenie
W komponencie submariner-operator znaleziono błąd polegający na nadmiernych uprawnieniach roli `submariner-k8s-broker-cluster` przypisywanej dołączonym klastrom. Pozwala to skompromitowanemu klastrowi na zmianę konfiguracji sieci, w szczególności nadpisanie informacji o punktach końcowych innych klastrów. W rezultacie atakujący może przekierować ruch tuneli między klastrami, umożliwiając atak typu Man-in-the-Middle (MITM) w całej siatce klastrów.
Ocena ryzyka
Ryzyko przejęcia kontroli nad ruchem sieciowym między klastrami, co może prowadzić do podsłuchu, modyfikacji danych lub zakłócenia działania całej siatki klastrów.
Rekomendacja
Zaleca się natychmiastowe ograniczenie uprawnień roli `submariner-k8s-broker-cluster` oraz zastosowanie poprawek dostarczonych przez producenta komponentu submariner-operator.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the submariner-operator component. The `submariner-k8s-broker-cluster` Role, which is assigned to joined clusters, possesses excessive permissions. This allows a compromised cluster to alter network configurations, specifically by overwriting other clusters' endpoint information. Consequently, an attacker can redirect inter-cluster tunnel traffic, enabling a Man-in-the-Middle (MITM) attack across the entire cluster mesh.