CVE-2026-66787
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W komponencie lighthouse w Red Hat Advanced Cluster Management for Kubernetes stwierdzono podatność wynikającą z niewystarczającej walidacji reklamowanych adresów IP w obiektach EndpointSlice. Zaatakowany klaster spoke może tworzyć EndpointSlices z adresami IP kontrolowanymi przez atakującego, co powoduje przekierowanie ruchu usług między klastrami do złośliwych punktów końcowych. Umożliwia to przeprowadzenie ataku Man-in-the-Middle na komunikację między klastrami.
Ocena ryzyka
Atakujący może przechwytywać i modyfikować ruch między klastrami, co prowadzi do nieautoryzowanego ujawnienia informacji i manipulacji danymi.
Rekomendacja
Zaktualizuj Red Hat Advanced Cluster Management for Kubernetes do wersji zawierającej poprawkę i ogranicz zaufanie do klastrów spoke.
Inne podatności w Red Hat Advanced Cluster Management for Kubernetes
Zobacz wszystkie- CVE-2026-10090Krytyczne
Wada w kontrolerze subskrypcji aplikacji (multicluster-operators-subscription) Red Hat Advanced Cluster Management for Kubernetes (ACM) pozwala użytkownikowi z uprawnieniami "edit" w przestrzeni nazw ACM hub na utworzenie zasobu Channel wskazującego na kontrolowane repozytorium Helm oraz zasobu Subscription. Kontroler pobiera i stosuje zawartość wykresu Helm z własnymi podwyższonymi uprawnieniami, bez weryfikacji, czy twórca subskrypcji posiada rolę "open-cluster-management:subscription-admin" i bez ograniczania stosowanych zasobów do przestrzeni nazw subskrypcji. Pozwala to atakującemu na umieszczenie w wykresie Helm zasobów klastrowych, takich jak ClusterRoleBinding przyznający ServiceAccount atakującego rolę "cluster-admin". Skuteczna eksploatacja prowadzi do pełnej eskalacji uprawnień do poziomu cluster-admin.
- CVE-2026-75485Średnie
W komponencie must-gather Red Hat Advanced Cluster Management for Kubernetes obiekt Proxy klastra jest zrzucany w surowej formie, z pominięciem redakcji oc inspect, która normalnie usuwa wrażliwe pola. To ujawnia poświadczenia basic-auth proxy w archiwum must-gather, potencjalnie ujawniając poufne informacje uwierzytelniające każdemu, kto ma dostęp do archiwum.
- CVE-2026-73834Średnie
W komponencie must-gather Red Hat Advanced Cluster Management for Kubernetes niektóre niestandardowe zasoby ACM, które zawierają dane Secret, są zbierane bez redakcji. Gdy administrator uruchamia must-gather, poświadczenia i tokeny są przechwytywane w postaci jawnego tekstu w wynikowym archiwum, co może ujawnić wrażliwe informacje każdemu, kto ma dostęp do archiwum.
- CVE-2026-66793Wysokie
W komponencie governance-policy-addon-controller Red Hat Advanced Cluster Management for Kubernetes, użytkownik z uprawnieniami do adnotacji zasobu namespaced ManagedClusterAddOn może nadpisać obraz kontenera polityki zarządzania. Pozwala to atakującemu uruchomić kontrolowany obraz z uprawnieniami cluster-admin na zarządzanym klastrze, co prowadzi do wykonania dowolnego kodu i eskalacji uprawnień.
- CVE-2026-17107Wysokie
W komponencie service-proxy w Red Hat Advanced Cluster Management for Kubernetes (RHACM) i multicluster-engine (MCE), serwer proxy dodaje nagłówki personifikacji do żądań bez usuwania wartości dostarczonych przez wywołującego. Uwierzytelniony podmiot z koncentratora może wstrzyknąć nagłówek Impersonate-Group, aby eskalować do cluster-admin na każdym zarządzanym klastrze.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the lighthouse component of Red Hat Advanced Cluster Management for Kubernetes. This vulnerability stems from insufficient validation of advertised IP addresses within EndpointSlice objects. A compromised spoke cluster can exploit this by creating EndpointSlices with attacker-controlled IP addresses, causing other clusters' lighthouse DNS to redirect legitimate service traffic to malicious endpoints. This enables a remote attacker to conduct transparent Man-in-the-Middle (MITM) attacks on cross-cluster service communications, potentially leading to unauthorized information disclosure and data manipulation.