CVE-2026-80354
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika w Apache Camel K. Dzięki niej najemca może odwołać się do sekretów po nazwie w przestrzeni nazw operatora, co może ujawnić sekrety należące do innych najemców lub komponentów operatora. Problem dotyczy wersji od 2.0.0 przed 2.9.3 oraz od 2.10.1 przed 2.10.2.
Ocena ryzyka
Ujawnienie sekretów innych najemców lub operatora może prowadzić do nieautoryzowanego dostępu do zasobów i eskalacji uprawnień w klastrze.
Rekomendacja
Zaktualizuj Apache Camel K do wersji 2.9.3, 2.10.2 lub 2.11.0, które naprawiają tę podatność.
Inne podatności w Apache Camel K
Zobacz wszystkie- CVE-2026-80352Krytyczne
Podatność typu code injection (niewłaściwa kontrola generowania kodu) w Apache Camel K. Wstrzyknięcie YAML w konfiguracji zasobu niestandardowego pozwala uprawnionemu autorowi CR na wstrzyknięcie dowolnych obiektów Kubernetes, co może umożliwić nieautoryzowane tworzenie zasobów z uprawnieniami operatora. Problem dotyczy wersji od 2.0.0 przed 2.9.3 oraz od 2.10.1 przed 2.10.2.
- CVE-2026-80351Krytyczne
Podatność typu eval injection (niewłaściwa neutralizacja dyrektyw w dynamicznie ewaluowanym kodzie) w Apache Camel K. Niewłaściwa neutralizacja dyrektyw w dynamicznie ewaluowanej konfiguracji Maven pozwala treści repozytorium kontrolowanej przez najemcę wpływać na wykonanie kodu w podzie operatora, co może umożliwić najemcom wykonanie dowolnego kodu z uprawnieniami operatora. Problem dotyczy wersji od 2.0.0 przed 2.9.3 oraz od 2.10.1 przed 2.10.2.
- CVE-2026-45760Wysokie
Apache Camel K zawiera podatność polegającą na zewnętrznie kontrolowanym odwołaniu do zasobu w innej sferze oraz obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika. Autoryzowani użytkownicy w przestrzeni nazw Kubernetes mogą utworzyć zasób Build, kontrolując generowanie Podów w wybranej przez siebie przestrzeni nazw, w tym w przestrzeni operatora.
Oryginalny opis (angielski, źródło NVD)
Authorization bypass through User-Controlled key vulnerability in Apache Camel K. An authorization vulnerability in custom resource resolution allows a tenant to reference secrets by name in the operator namespace, potentially exposing secrets belonging to other tenants or operator components. This issue affects Apache Camel K: from 2.0.0 before 2.9.3, from 2.10.1 before 2.10.2. Users are recommended to upgrade to version 2.9.3, 2.10.2 or 2.11.0, which fixes the issue.