CVE-2026-71846
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W komponencie insights-client znaleziono błąd: ServiceAccount jest powiązany z ClusterRole przyznającym uprawnienia do pobierania, listowania i obserwowania wszystkich sekretów w klastrze, podczas gdy kod wymaga dostępu tylko do jednego konkretnego sekretu. To nadmierne uprawnienie oznacza, że kompromitacja poda lub tokena ServiceAccount może dać atakującemu dostęp do wszystkich sekretów w klastrze hub, w tym kubeconfigów klastrów zarządzanych i innych wrażliwych poświadczeń.
Ocena ryzyka
Kompromitacja poda lub tokena może prowadzić do pełnego ujawnienia sekretów w klastrze, co może skutkować przejęciem klastrów zarządzanych i naruszeniem bezpieczeństwa całego środowiska.
Rekomendacja
Zaktualizuj insights-client do wersji z poprawką. Ogranicz uprawnienia ServiceAccount do minimalnych wymaganych, zgodnie z zasadą najmniejszych uprawnień.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in insights-client. The component's ServiceAccount is bound to a ClusterRole granting cluster-wide secrets get, list, and watch permissions, while the code only requires access to a single specific Secret. This excessive privilege means that a compromise of the insights-client pod or ServiceAccount token would grant an attacker read access to all Secrets across the hub cluster, including managed-cluster kubeconfigs and other sensitive credentials.