CVE-2026-66792
KrytyczneCVSS 9.9Streszczenie
Wykryto podatność w komponencie multicloud-operators-subscription. Umożliwia użytkownikowi w zarządzanym klastrze eskalację uprawnień poprzez utworzenie Subskrypcji z określonymi, spreparowanymi adnotacjami. Skuteczne wykorzystanie daje atakującemu możliwość wdrażania zasobów w dowolnej przestrzeni nazw z podwyższonymi uprawnieniami konta usługi kontrolera, co może prowadzić do nieautoryzowanego dostępu i kontroli nad zasobami klastra.
Ocena ryzyka
Może prowadzić do eskalacji uprawnień i przejęcia kontroli nad zasobami klastra, co stanowi poważne zagrożenie dla bezpieczeństwa środowiska.
Rekomendacja
Zastosuj poprawki dostarczone przez producenta i ogranicz dostęp do tworzenia Subskrypcji tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the multicloud-operators-subscription component. This vulnerability allows a user on a managed cluster to escalate their privileges by creating a Subscription with specific, crafted annotations. Successful exploitation grants the attacker the ability to deploy resources into any namespace with the elevated permissions of the controller's Service Account, potentially leading to unauthorized access and control over cluster resources.