CVE-2026-71846
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W komponencie insights-client znaleziono błąd: ServiceAccount jest powiązany z ClusterRole przyznającym uprawnienia do pobierania, listowania i obserwowania wszystkich sekretów w klastrze, podczas gdy kod wymaga dostępu tylko do jednego konkretnego sekretu. To nadmierne uprawnienie oznacza, że kompromitacja poda lub tokena ServiceAccount może dać atakującemu dostęp do wszystkich sekretów w klastrze hub, w tym kubeconfigów klastrów zarządzanych i innych wrażliwych poświadczeń.
Ocena ryzyka
Kompromitacja poda lub tokena może prowadzić do pełnego ujawnienia sekretów w klastrze, co może skutkować przejęciem klastrów zarządzanych i naruszeniem bezpieczeństwa całego środowiska.
Rekomendacja
Zaktualizuj insights-client do wersji z poprawką. Ogranicz uprawnienia ServiceAccount do minimalnych wymaganych, zgodnie z zasadą najmniejszych uprawnień.
Inne podatności w insights-client
Zobacz wszystkie- CVE-2026-71845Średnie
W insights-client wykryto wadę: funkcja setDefault() loguje wartość każdej zmiennej środowiskowej, w tym CCX_TOKEN, poświadczenia typu bearer używanego we wdrożeniach klastrów rozłączonych. Gdy poziom szczegółowości glog jest ustawiony na 2 lub wyższy, token jest zapisywany w postaci jawnego tekstu w logach poda przy każdym starcie. Atakujący z dostępem do logów poda lub scentralizowanych logów może uzyskać poświadczenie, prowadząc do nieautoryzowanego dostępu do API CCX.
- CVE-2026-71475Średnie
W insights-client wykryto wadę: skompromitowany klaster zarządzany (spoke) może wstrzyknąć niekodowane dane do ścieżki URL API Insights. Dzieje się tak, ponieważ ClusterID, kontrolowany przez spoke, jest używany bezpośrednio w ścieżce żądania bez odpowiedniej walidacji lub kodowania URL. Ta podatność pozwala złośliwemu spoke na przekierowanie uwierzytelnionych żądań do niezamierzonych endpointów API, potencjalnie prowadząc do ujawnienia informacji lub nieautoryzowanego dostępu.
- CVE-2026-71474Wysokie
W aplikacji insights-client po otrzymaniu odpowiedzi innej niż 200 logowane są nagłówki żądania, które mogą zawierać token pull-secret z cloud.openshift.com. Lokalny użytkownik mający dostęp do logów podów na hubie może odczytać to długożyjące poświadczenie. Taka informacja może umożliwić nieautoryzowany dostęp do usług chmurowych Red Hat.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in insights-client. The component's ServiceAccount is bound to a ClusterRole granting cluster-wide secrets get, list, and watch permissions, while the code only requires access to a single specific Secret. This excessive privilege means that a compromise of the insights-client pod or ServiceAccount token would grant an attacker read access to all Secrets across the hub cluster, including managed-cluster kubeconfigs and other sensitive credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS