CVE-2026-73266
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W komponencie clusterclaims-controller w Multicluster Engine (MCE) znaleziono błąd. Uwierzytelniony najemca może wykorzystać tę podatność, manipulując etykietami ClusterClaim. Pozwala to najemcy na wymuszenie dołączenia klastra do ManagedClusterSet należącego do innego najemcy. Taki nieautoryzowany dostęp może umożliwić wstrzykiwanie polityk i obciążeń do klastrów innych najemców.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do klastrów innych najemców, co może prowadzić do naruszenia izolacji i wstrzyknięcia złośliwych polityk lub obciążeń.
Rekomendacja
Zastosuj poprawki dostarczone przez producenta MCE i ogranicz uprawnienia do manipulacji etykietami ClusterClaim.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the clusterclaims-controller component of Multicluster Engine (MCE). An authenticated tenant can exploit this vulnerability by manipulating ClusterClaim labels. This allows the tenant to force a cluster to join a ManagedClusterSet belonging to another tenant. Such unauthorized access could enable the injection of policies and workloads into other tenants' clusters.