CVE-2026-70495
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W komponencie search-v2-operator stwierdzono wadę. Konto usługowe `search-serviceaccount` ma zbyt szerokie uprawnienia, umożliwiające podszywanie się pod użytkowników i grupy w całym klastrze. Jeśli atakujący uzyska dostęp do dowolnego poda działającego na tym koncie usługowym, może wykorzystać to do uzyskania dostępu `system:masters`, co daje pełną kontrolę nad klastrem.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ przejęcie konta usługowego może prowadzić do pełnej kompromitacji klastra Kubernetes, w tym dostępu do wszystkich zasobów i danych. Wymaga to jednak wcześniejszego dostępu do poda.
Rekomendacja
Zaleca się natychmiastowe ograniczenie uprawnień konta usługowego `search-serviceaccount` zgodnie z zasadą najmniejszych uprawnień. Należy również monitorować dostęp do podów i audytować uprawnienia.
Inne podatności w search-v2-operator
Zobacz wszystkie- CVE-2026-70496Krytyczne
W operatorze search-v2-operator znaleziono błąd: jego ClusterRole ma uprawnienia równoważne administratorowi klastra, umożliwiając podszywanie się, modyfikację konfiguracji RBAC, zatwierdzanie CSR i zarządzanie ManifestWork, co prowadzi do nadmiernych uprawnień i eskalacji przywilejów.
- CVE-2026-71470Krytyczne
W operatorze search-v2-operator znaleziono błąd, który pozwala uprzywilejowanemu użytkownikowi (edytorowi Custom Resource) manipulować polami Search CR, takimi jak imageOverride, argumenty i zmienne środowiskowe, bez odpowiedniej walidacji. Atakujący może zamontować dowolne sekrety w środowisku kontenera wyszukiwania lub podmienić obraz kontenera na kontrolowany przez atakującego, co prowadzi do eskalacji uprawnień i potencjalnego pełnego przejęcia klastra.
- CVE-2026-71473Wysokie
Znaleziono usterkę w komponencie `search-v2-operator`. Użytkownik z określonymi uprawnieniami administracyjnymi na klastrze zarządzanym może wykorzystać podatność, która pozwala mu wstrzykiwać dowolne dane konfiguracyjne. Ta manipulacja może nadpisać krytyczne ustawienia, prowadząc do zastąpienia obrazów kontenerów. To ostatecznie skutkuje wstrzyknięciem obrazów kontenerów na klastrze zarządzanym, potencjalnie naruszając jego integralność.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in search-v2-operator. This component's `search-serviceaccount` has overly broad permissions, allowing it to impersonate users and groups across the entire cluster. If an attacker gains access to any of the pods running under this service account, they could exploit this to achieve `system:masters` access, granting them full control over the cluster.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS