CVE-2026-89060
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W multicluster-observability-addon występuje błąd autoryzacji między przestrzeniami nazw, który pozwala użytkownikowi z uprawnieniem do modyfikacji konfiguracji ManagedClusterAddOn odwołać się do zasobów ClusterLogForwarder lub OpenTelemetryCollector spoza dozwolonej przestrzeni nazw. Jeśli zasoby te odwołują się do Secretów, dodatek może skopiować te Secrety do klastra zarządzanego kontrolowanego przez atakującego.
Ocena ryzyka
Atakujący może wykraść dane uwierzytelniające i inne wrażliwe informacje przechowywane w Secretach Kubernetes, co może prowadzić do dalszej eskalacji uprawnień w klastrze.
Rekomendacja
Ogranicz uprawnienia do modyfikacji konfiguracji ManagedClusterAddOn oraz zaktualizuj multicluster-observability-addon do wersji zawierającej poprawkę autoryzacji między przestrzeniami nazw.
Inne podatności w multicluster-observability-addon
Oryginalny opis (angielski, źródło NVD)
A cross-namespace authorization flaw in multicluster-observability-addon allows a user with permission to modify a managed cluster’s ManagedClusterAddOn configuration to reference ClusterLogForwarder or OpenTelemetryCollector resources outside the permitted namespace. If those resources reference Secrets, the add-on may copy the referenced Secrets to the attacker-controlled managed cluster.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS