CVE-2026-73268
KrytyczneCVSS 9.9Streszczenie
W komponencie cluster-curator-controller w multicluster engine (MCE) stwierdzono podatność, która pozwala użytkownikowi z uprawnieniami do tworzenia lub modyfikowania zasobów ClusterCurator na wstrzyknięcie dowolnej specyfikacji zadania Job. Funkcja CreateJob() nie waliduje danych wprowadzanych przez użytkownika podczas przetwarzania surowego rozszerzenia spec.install.overrideJob.
Ocena ryzyka
Wstrzyknięte zadanie może zostać uruchomione z podwyższonymi uprawnieniami kontrolera, co prowadzi do wykonania dowolnego kodu, eskalacji uprawnień i potencjalnego dostępu do sekretów w całym klastrze.
Rekomendacja
Zaleca się ograniczenie uprawnień do zasobów ClusterCurator oraz aktualizację komponentu do wersji zawierającej poprawkę walidacji danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the cluster-curator-controller component of multicluster engine (MCE). A tenant with create or update permissions on ClusterCurator resources can inject an arbitrary Job specification. This is possible because the CreateJob() function does not validate user-controlled input when unmarshaling the spec.install.overrideJob raw extension. Successful exploitation allows the injected Job to run with the controller's elevated privileges, leading to arbitrary code execution and privilege escalation, potentially accessing cluster-wide secrets.