CVE-2026-80352
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność typu code injection (niewłaściwa kontrola generowania kodu) w Apache Camel K. Wstrzyknięcie YAML w konfiguracji zasobu niestandardowego pozwala uprawnionemu autorowi CR na wstrzyknięcie dowolnych obiektów Kubernetes, co może umożliwić nieautoryzowane tworzenie zasobów z uprawnieniami operatora. Problem dotyczy wersji od 2.0.0 przed 2.9.3 oraz od 2.10.1 przed 2.10.2.
Ocena ryzyka
Atakujący z uprawnieniami do tworzenia zasobów niestandardowych może tworzyć nieautoryzowane obiekty Kubernetes z uprawnieniami operatora, co może prowadzić do eskalacji uprawnień.
Rekomendacja
Zaktualizuj Apache Camel K do wersji 2.9.3, 2.10.2 lub 2.11.0, które naprawiają tę podatność.
Inne podatności w Apache Camel K
Zobacz wszystkie- CVE-2026-80351Krytyczne
Podatność typu eval injection (niewłaściwa neutralizacja dyrektyw w dynamicznie ewaluowanym kodzie) w Apache Camel K. Niewłaściwa neutralizacja dyrektyw w dynamicznie ewaluowanej konfiguracji Maven pozwala treści repozytorium kontrolowanej przez najemcę wpływać na wykonanie kodu w podzie operatora, co może umożliwić najemcom wykonanie dowolnego kodu z uprawnieniami operatora. Problem dotyczy wersji od 2.0.0 przed 2.9.3 oraz od 2.10.1 przed 2.10.2.
- CVE-2026-80354Wysokie
Podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika w Apache Camel K. Dzięki niej najemca może odwołać się do sekretów po nazwie w przestrzeni nazw operatora, co może ujawnić sekrety należące do innych najemców lub komponentów operatora. Problem dotyczy wersji od 2.0.0 przed 2.9.3 oraz od 2.10.1 przed 2.10.2.
- CVE-2026-45760Wysokie
Apache Camel K zawiera podatność polegającą na zewnętrznie kontrolowanym odwołaniu do zasobu w innej sferze oraz obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika. Autoryzowani użytkownicy w przestrzeni nazw Kubernetes mogą utworzyć zasób Build, kontrolując generowanie Podów w wybranej przez siebie przestrzeni nazw, w tym w przestrzeni operatora.
Oryginalny opis (angielski, źródło NVD)
Improper Control of Generation of Code ('Code Injection') vulnerability in Apache Camel K. A YAML injection vulnerability in custom resource configuration allows an authorized CR author to inject arbitrary Kubernetes objects, potentially enabling unauthorized resource creation with the privileges of the operator. This issue affects Apache Camel K: from 2.0.0 before 2.9.3, from 2.10.1 before 2.10.2. Users are recommended to upgrade to version 2.9.3, 2.10.2 or 2.11.0, which fixes the issue.