CVE-2026-67567
KrytyczneCVSS 9.9Streszczenie
Podatność w komponencie multicloud-operators-subscription umożliwia najemcy z uprawnieniami do tworzenia zasobów HelmRelease ominięcie kontroli bezpieczeństwa. Kontroler HelmRelease przetwarza szablony chartów z podwyższonymi uprawnieniami ServiceAccount bez odpowiedniej walidacji, co pozwala na wdrożenie dowolnych zasobów w całym klastrze.
Ocena ryzyka
Ryzyko obejmuje pełną kompromitację klastra, w tym eskalację uprawnień i nieautoryzowany dostęp do zasobów.
Rekomendacja
Zaleca się natychmiastowe ograniczenie uprawnień do tworzenia zasobów HelmRelease oraz wdrożenie poprawek dostarczonych przez producenta.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the multicloud-operators-subscription component. This vulnerability allows a tenant, who has the ability to create HelmRelease custom resources (CRs), to bypass existing security controls. The system's HelmRelease controller processes Helm chart templates using its own elevated ServiceAccount privileges without proper validation. This enables the tenant to deploy arbitrary resources across the entire cluster, leading to a significant security compromise.