CVE-2026-77968
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W hawtio-operator ClusterRole przyznaje uprawnienia secrets: [create, get, list, update, watch] we wszystkich przestrzeniach nazw. Mimo że operator używa cache z selektorem etykiet jako optymalizacji pamięci, token ServiceAccount autoryzuje dostęp do odczytu wszystkich sekretów w klastrze. Operator omija cache poprzez bezpośrednie wywołania API. Kompromitacja poda operatora umożliwiłaby odczyt wszystkich sekretów w klastrze, w tym tokenów bootstrap, poświadczeń chmurowych i sekretów innych operatorów.
Ocena ryzyka
Ryzyko pełnego ujawnienia sekretów w klastrze po kompromitacji poda operatora, co może prowadzić do przejęcia całego klastra i dostępu do poświadczeń chmurowych.
Rekomendacja
Zaleca się ograniczenie uprawnień ClusterRole do minimalnych wymaganych, np. tylko do odczytu sekretów w określonych przestrzeniach nazw, oraz unikanie bezpośrednich wywołań API omijających cache.
Inne podatności w hawtio-operator
Zobacz wszystkie- CVE-2026-78234Krytyczne
W hawtio-operator znaleziono błąd: operator odczytuje prywatny klucz podpisujący Service CA z przestrzeni nazw openshift-service-ca i używa go do tworzenia certyfikatów klienckich z CN dostarczonym przez autora zasobu Hawtio. Operator dostarcza ClusterRole, która agreguje uprawnienia do zasobów Hawtio do ról edit i admin, więc każdy użytkownik z prawem edycji w dowolnej przestrzeni nazw może uzyskać certyfikat podpisany przez Service CA z dowolnym podmiotem. Certyfikat może być użyty do podszywania się pod dowolną tożsamość usługi w klastrze dla elementów ufających Service CA, w tym agentów Jolokia.
- CVE-2026-81320Średnie
W hawtio-operator wykryto usterkę: gdy skonfigurowano niestandardowy sekret TLS dla Route, a operator działa na poziomie debugowania 1 lub wyższym, cały obiekt Route — w tym prywatny klucz TLS w formacie PEM — jest serializowany do JSON i zapisywany na standardowym wyjściu operatora. Logi operatora są zazwyczaj przekazywane do centralnych systemów logowania i czytelne dla każdego z dostępem do pods/log w przestrzeni nazw openshift-operators. Poziom debugowania 1 jest niskim progiem często włączanym podczas rozwiązywania problemów.
- CVE-2026-81303Średnie
W hawtio-operator wykryto usterkę: operator posiada uprawnienie routes/custom-host:create w całym klastrze i zapisuje wartość spec.routeHostName dostarczoną przez dzierżawcę z zasobu Hawtio bezpośrednio do specyfikacji Route bez walidacji lub kontroli autoryzacji. Użytkownik z uprawnieniami edycji przestrzeni nazw, który normalnie nie może ustawiać niestandardowych nazw hostów Route, może użyć operatora jako confused deputy do przejęcia dowolnych zewnętrznie routowalnych nazw hostów, co umożliwia przejęcie subdomeny, a w połączeniu z automatycznie przyznawanym OAuthClient — przejęcie przekierowania OAuth.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in hawtio-operator. The operator's ClusterRole grants secrets: [create, get, list, update, watch] across all namespaces. While the operator uses a controller-runtime label-selector cache as a memory optimization, the ServiceAccount token authorizes read access to every Secret in the cluster. The operator also bypasses the cache via direct API calls. Compromise of the operator pod would yield read access to every Secret in the cluster, including bootstrap tokens, cloud credentials, and other operators' secrets.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS