CVE-2026-72526
KrytyczneCVSS 9.9Streszczenie
Wada w komponencie multicloud-integrations. Kontroler propagacji aplikacji przetwarza adnotację `ocm-managed-cluster` z zasobu Application Custom Resource (CR) bez odpowiedniej walidacji. Najemca z uprawnieniami do tworzenia aplikacji w klastrze centralnym może wykorzystać to do atakowania dowolnych klastrów zarządzanych, zmuszając ArgoCD w klastrach brzegowych do synchronizacji manifestów kontrolowanych przez atakującego, co prowadzi do wykonania dowolnego kodu lub eskalacji uprawnień.
Ocena ryzyka
Możliwość przejęcia kontroli nad klastrami zarządzanymi, co może prowadzić do naruszenia integralności i poufności danych oraz eskalacji uprawnień.
Rekomendacja
Zastosuj poprawki dostarczone przez producenta dla komponentu multicloud-integrations oraz ogranicz uprawnienia do tworzenia aplikacji w klastrze centralnym.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the multicloud-integrations component. The Application propagation controller processes the `ocm-managed-cluster` annotation from an Application Custom Resource (CR) without proper validation. A tenant with permissions to create Applications on the hub cluster can exploit this to target arbitrary managed clusters. This can force ArgoCD on the spoke clusters to synchronize attacker-controlled manifests, leading to arbitrary code execution or privilege escalation on those clusters.