CVE-2026-66788
KrytyczneCVSS 9.9Streszczenie
Podatność w Lighthouse pozwala zdalnemu atakującemu, po skompromitowaniu klastra spoke, na wstrzyknięcie nieautoryzowanych zasobów EndpointSlices i ServiceImports do dowolnej przestrzeni nazw w klastrach peer, w tym do krytycznych systemowych przestrzeni nazw. Dzieje się tak, ponieważ docelowa przestrzeń nazw jest wyprowadzana z kontrolowanej przez atakującego etykiety lub adnotacji na obiekcie brokera.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień i kompromitację systemu w obrębie klastra, w tym dostęp do wrażliwych zasobów.
Rekomendacja
Zaleca się wdrożenie poprawek od producenta oraz wzmocnienie walidacji etykiet i adnotacji na obiektach brokera.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Lighthouse. A remote attacker, by compromising a spoke cluster, can exploit a vulnerability where the destination namespace for resource injection is derived from an attacker-controlled label or annotation on the broker object. This allows the attacker to inject unauthorized EndpointSlices and ServiceImports into any namespace on peer clusters, including critical system namespaces like kube-system and openshift-*. This could lead to privilege escalation or other forms of system compromise within the cluster.