CVE-2026-66783
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W komponencie submariner-operator w Red Hat Advanced Cluster Management for Kubernetes stwierdzono podatność, która pozwala administratorowi klastra lub użytkownikowi z uprawnieniami do modyfikacji Submariner Custom Resource (CR) na podanie niezweryfikowanej ścieżki obrazu. Brak walidacji umożliwia atakującemu wykonanie dowolnego kodu z podwyższonymi uprawnieniami w całym klastrze, w tym na węzłach kontrolnych, poprzez wdrożenie złośliwego obrazu.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad klastrem Kubernetes, co prowadzi do naruszenia integralności, poufności i dostępności wszystkich zasobów.
Rekomendacja
Ogranicz uprawnienia do modyfikacji Submariner CR tylko do zaufanych administratorów i zastosuj aktualizacje dostarczone przez Red Hat.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the `submariner-operator` component of Red Hat Advanced Cluster Management for Kubernetes. This vulnerability allows a cluster administrator, or any user with permissions to modify the Submariner Custom Resource (CR), to specify an unvalidated image path. This lack of validation enables an attacker to execute arbitrary code with elevated privileges across the entire cluster, including control-plane nodes, by deploying a malicious image.