CVE-2026-7309

ŚrednieCVSS 4.3

Opublikowano: 28/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

W systemie budowania OpenShift Container Platform wykryto lukę, która pozwala użytkownikowi z rolą ClusterRole `edit` na wstrzykiwanie dowolnych zmiennych środowiskowych, takich jak `LD_PRELOAD` lub `http_proxy`, do kontenerów `docker-build` poprzez API `buildconfigs/instantiate`. Niekompletna poprawka wcześniejszej podatności umożliwia ujawnienie informacji, wpływając na poufność ruchu budowania.

Ocena ryzyka

Użytkownik z uprawnieniami edycji może ujawnić dane przesyłane podczas budowania, co może prowadzić do wycieku wrażliwych informacji.

Rekomendacja

Zaktualizuj OpenShift Container Platform do wersji zawierającej pełną poprawkę lub ogranicz uprawnienia roli `edit`.

Inne podatności w OpenShift Container Platform

CVE-2026-10533Średnie
W OpenShift Container Platform stwierdzono wadę, w której ukończone pody z polityką restartPolicy: Never nie są wliczane do limitów podów ResourceQuota, a zdarzenia Kubernetes nie są objęte limitami przydziału. Nieuprzywilejowany użytkownik mogący tworzyć pody w przestrzeni nazw może to wykorzystać do generowania dużej liczby zdarzeń gromadzących się w etcd, powodując degradację wydajności serwera API w całym klastrze.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in the OpenShift Container Platform build system. A user with the `edit` ClusterRole can inject arbitrary environment variables, such as `LD_PRELOAD` or `http_proxy`, into `docker-build` containers through the `buildconfigs/instantiate` API. This incomplete fix for a previous vulnerability allows for information disclosure, specifically impacting the confidentiality of build traffic.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS