CVE-2026-73266
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W komponencie clusterclaims-controller w Multicluster Engine (MCE) znaleziono błąd. Uwierzytelniony najemca może wykorzystać tę podatność, manipulując etykietami ClusterClaim. Pozwala to najemcy na wymuszenie dołączenia klastra do ManagedClusterSet należącego do innego najemcy. Taki nieautoryzowany dostęp może umożliwić wstrzykiwanie polityk i obciążeń do klastrów innych najemców.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do klastrów innych najemców, co może prowadzić do naruszenia izolacji i wstrzyknięcia złośliwych polityk lub obciążeń.
Rekomendacja
Zastosuj poprawki dostarczone przez producenta MCE i ogranicz uprawnienia do manipulacji etykietami ClusterClaim.
Inne podatności w Multicluster Engine
Zobacz wszystkie- CVE-2026-19130Średnie
W komponencie provider-credential-controller w multicluster-engine (MCE) znaleziono błąd. Atakujący z określonymi uprawnieniami na klastrze hub i znajomością poprzedniej wartości poświadczeń może wykorzystać obejście autoryzacji. Manipulując etykietami `copiedFrom`, atakujący może przechwycić nowo rotowane poświadczenia dostawcy, prowadząc do nieautoryzowanego ujawnienia informacji.
- CVE-2026-7163Średnie
W interfejsie REST assisted-service (opcjonalny komponent Assisted Installer w Multicluster Engine) uwierzytelniony użytkownik z minimalnymi uprawnieniami w przestrzeni nazw może uzyskać poświadczenia administracyjne dla dowolnego klastra OpenShift provisionowanego przez hub. Punkt końcowy pobierania poświadczeń (GET /v2/clusters/{cluster_id}/credentials) oraz kubeconfig działają w trybie AUTH_TYPE=local, który bezwarunkowo przyznaje pełny dostęp administracyjny każdemu żądaniu z ważnym JWT. Lokalny JWT jest osadzony jako jawny parametr zapytania w InfraEnvStatus.ISODownloadURL i jest odczytywalny przez każdego użytkownika z prawem get na obiekcie InfraEnv w swojej przestrzeni nazw.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the clusterclaims-controller component of Multicluster Engine (MCE). An authenticated tenant can exploit this vulnerability by manipulating ClusterClaim labels. This allows the tenant to force a cluster to join a ManagedClusterSet belonging to another tenant. Such unauthorized access could enable the injection of policies and workloads into other tenants' clusters.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS