CVE-2026-70398
KrytyczneCVSS 9.6Streszczenie
Wada w komponencie multicloud-integrations, będącym częścią Red Hat Advanced Cluster Management (RHACM). Umożliwia uwierzytelnionemu użytkownikowi (najemcy) manipulowanie kontrolerem GitOpsCluster, co pozwala na przekierowanie wrażliwych tokenów bearer klastrów brzegowych z bezpiecznych lokalizacji do kontrolowanej przez atakującego przestrzeni nazw. Może to prowadzić do ujawnienia krytycznych informacji i obejścia polityk bezpieczeństwa w ArgoCD AppProjects.
Ocena ryzyka
Ujawnienie tokenów dostępu do klastrów zarządzanych, co może prowadzić do nieautoryzowanego dostępu i naruszenia bezpieczeństwa.
Rekomendacja
Zastosuj poprawki od Red Hat dla komponentu multicloud-integrations oraz monitoruj uprawnienia użytkowników w RHACM.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in multicloud-integrations, a component of Red Hat Advanced Cluster Management (RHACM). This vulnerability allows an authenticated user, referred to as a tenant, to manipulate the GitOpsCluster controller. By exploiting this, a tenant can redirect sensitive spoke cluster bearer tokens from secure locations to a namespace they control. This unauthorized access to tokens can lead to the disclosure of critical information and bypass security policies within ArgoCD AppProjects.