CVE-2026-78600
NiskieCVSS 3.5Streszczenie
Niekompletne czyszczenie (CWE-459) w Elastic Cloud on Kubernetes (ECK) może prowadzić do nieautoryzowanego dostępu poprzez nadużycie uprawnień (CAPEC-122). Poświadczenia uwierzytelniające pozostają po odmowie skojarzenia między przestrzeniami nazw przez egzekwowanie RBAC, umożliwiając użytkownikowi o niskich uprawnieniach zachowanie nieautoryzowanego dostępu do powiązanego klastra Elasticsearch.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do danych Elasticsearch przez użytkowników o niskich uprawnieniach, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaktualizuj Elastic Cloud on Kubernetes do wersji z poprawkami bezpieczeństwa i upewnij się, że poświadczenia są prawidłowo czyszczone po odmowie dostępu.
Inne podatności w Elastic Cloud on Kubernetes
Zobacz wszystkie- CVE-2026-78609Średnie
Nieprawidłowa autoryzacja w Elastic Cloud on Kubernetes (ECK) umożliwia nieautoryzowaną modyfikację danych poprzez podszywanie się pod metadane. Osoba posiadająca ograniczone uprawnienia Kubernetes w jednej przestrzeni nazw może spowodować dołączenie kontrolowanego przez siebie materiału certyfikatu do pakietu zaufania klienta Elasticsearch zarządzanego przez ECK w innej przestrzeni nazw.
- CVE-2026-72648Średnie
Przechowywanie wrażliwych informacji w postaci jawnej w zmiennej środowiskowej w Elastic Cloud on Kubernetes (ECK) może prowadzić do ujawnienia informacji. Gdy ECK przetwarza zasób Fleet Server, który uwierzytelnia się do Elasticsearch za pomocą tokena konta usługi, token jest zapisywany w jawnej formie w wygenerowanej specyfikacji obciążenia, zamiast być odwołaniem do sekretu Kubernetes, który ECK utrzymuje dla innych poświadczeń. Każdy podmiot mający dostęp do odczytu specyfikacji obciążenia w danym namespace może odczytać aktywne poświadczenie Elasticsearch, nawet jeśli RBAC Kubernetes nie przyznaje mu dostępu do sekretów.
Oryginalny opis (angielski, źródło NVD)
Incomplete Cleanup (CWE-459) in Elastic Cloud on Kubernetes (ECK) can lead to unauthorized access via Privilege Abuse (CAPEC-122). Authentication credentials persist after a cross-namespace association has been denied by RBAC enforcement, allowing a low-privileged tenant to retain unauthorized read access to the associated Elasticsearch cluster.