CVE-2026-86332
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W odh-dashboard w Red Hat OpenShift AI znaleziono błąd: trasa GET /api/nim-serving/:nimResource odczytuje sekrety Kubernetes przy użyciu konta usługi dashboardu i zwraca pełny obiekt Secret, w tym .data, bez sprawdzenia autoryzacji. Każdy uwierzytelniony użytkownik dashboardu może pobrać klucz API NVIDIA NGC (apiKeySecret) oraz sekret do ściągania obrazów NIM (nimPullSecret). Brak autoryzacji (CWE-862) i niewystarczająca ochrona poświadczeń (CWE-522).
Ocena ryzyka
Ujawnienie kluczy API i sekretów może umożliwić nieautoryzowany dostęp do zasobów NVIDIA i obrazów NIM, co może prowadzić do naruszenia bezpieczeństwa całego środowiska AI.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek dostarczonych przez Red Hat oraz ograniczenie dostępu do trasy /api/nim-serving/:nimResource.
Inne podatności w odh-dashboard
Zobacz wszystkie- CVE-2026-18950Wysokie
W odh-dashboard znaleziono podatność związaną z tworzeniem powiązań ról (RoleBindings). System nie waliduje poprawnie pola 'roleRef', co pozwala użytkownikowi na przypisanie dowolnej roli, w tym wysoce uprzywilejowanej jak 'cluster-admin'. Może to prowadzić do eskalacji uprawnień i trwałej kontroli nad systemem.
- CVE-2026-18949Wysokie
W odh-dashboard znaleziono podatność, która pozwala atakującemu, posiadającemu skradziony token konta usługowego (SA) dashboardu, wykorzystać nadmiernie szerokie uprawnienia przyznane temu kontu. Umożliwia to eskalację uprawnień do poziomu administratora klastra, dostęp do wrażliwych danych, takich jak poświadczenia i klucze, oraz naruszenie izolacji między dzierżawcami.
- CVE-2026-16745Wysokie
W komponencie webowym odh-dashboard Red Hat OpenShift AI (RHOAI) stwierdzono podatność polegającą na nieprawidłowym wiązaniu sieciowym, co umożliwia złośliwemu aktorowi w klastrze ominięcie uwierzytelniania i podszycie się pod dowolnego użytkownika poprzez podanie dowolnego tokena dostępu.
- CVE-2026-5483Wysokie
W produkcie Red Hat OpenShift AI (RHOAI) w komponencie odh-dashboard wykryto podatność umożliwiającą ujawnienie tokenów kont serwisowych Kubernetes przez endpoint NodeJS. Może to pozwolić atakującemu na nieautoryzowany dostęp do zasobów Kubernetes.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in odh-dashboard in Red Hat OpenShift AI. The backend-for-frontend route GET /api/nim-serving/:nimResource reads Kubernetes Secrets using the dashboard service account and returns the full Secret object, including .data, without an authorization check. Any authenticated dashboard user can retrieve the cluster NVIDIA NGC API key Secret (apiKeySecret) and the NIM image pull secret (nimPullSecret). Create and delete of the same NIM credential are admin-gated; the read path is not. This is missing authorization (CWE-862) and insufficiently protected credentials (CWE-522). It is distinct from CVE-2026-5483 (service-account token leak in the Kubernetes client response wrapper on the same route) and CVE-2026-16456 (odh-model-controller cross-namespace confused deputy).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS