CVE-2026-78609
ŚrednieCVSS 5.4Streszczenie
Nieprawidłowa autoryzacja w Elastic Cloud on Kubernetes (ECK) umożliwia nieautoryzowaną modyfikację danych poprzez podszywanie się pod metadane. Osoba posiadająca ograniczone uprawnienia Kubernetes w jednej przestrzeni nazw może spowodować dołączenie kontrolowanego przez siebie materiału certyfikatu do pakietu zaufania klienta Elasticsearch zarządzanego przez ECK w innej przestrzeni nazw.
Ocena ryzyka
Ryzyko naruszenia integralności danych i zaufania do komunikacji z Elasticsearch, co może prowadzić do przechwycenia lub modyfikacji danych.
Rekomendacja
Zaktualizuj ECK do wersji zawierającej poprawkę i ogranicz uprawnienia Kubernetes do minimum wymaganego dla użytkowników.
Inne podatności w Elastic Cloud on Kubernetes
Zobacz wszystkie- CVE-2026-78600Niskie
Niekompletne czyszczenie (CWE-459) w Elastic Cloud on Kubernetes (ECK) może prowadzić do nieautoryzowanego dostępu poprzez nadużycie uprawnień (CAPEC-122). Poświadczenia uwierzytelniające pozostają po odmowie skojarzenia między przestrzeniami nazw przez egzekwowanie RBAC, umożliwiając użytkownikowi o niskich uprawnieniach zachowanie nieautoryzowanego dostępu do powiązanego klastra Elasticsearch.
- CVE-2026-72648Średnie
Przechowywanie wrażliwych informacji w postaci jawnej w zmiennej środowiskowej w Elastic Cloud on Kubernetes (ECK) może prowadzić do ujawnienia informacji. Gdy ECK przetwarza zasób Fleet Server, który uwierzytelnia się do Elasticsearch za pomocą tokena konta usługi, token jest zapisywany w jawnej formie w wygenerowanej specyfikacji obciążenia, zamiast być odwołaniem do sekretu Kubernetes, który ECK utrzymuje dla innych poświadczeń. Każdy podmiot mający dostęp do odczytu specyfikacji obciążenia w danym namespace może odczytać aktywne poświadczenie Elasticsearch, nawet jeśli RBAC Kubernetes nie przyznaje mu dostępu do sekretów.
Oryginalny opis (angielski, źródło NVD)
Incorrect Authorization (CWE-863) in Elastic Cloud on Kubernetes (ECK) can lead to unauthorized modification of data via Metadata Spoofing (CAPEC-690). An actor holding limited Kubernetes permissions confined to a single namespace could cause attacker-controlled certificate material to be included in the Elasticsearch client trust bundle managed by ECK in a separate namespace.