CVE-2026-9165
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W Red Hat Advanced Cluster Security for Kubernetes (RHACS) stwierdzono brak ograniczenia głębokości zapytań GraphQL w interfejsie API Central. Uwierzytelniony użytkownik z ważnym tokenem API może wysyłać głęboko zagnieżdżone zapytania, powodując nadmierne zużycie zasobów i odmowę usługi dla płaszczyzny zarządzania.
Ocena ryzyka
Atakujący może doprowadzić do wyczerpania zasobów Central, uniemożliwiając zarządzanie klastrami Kubernetes i monitorowanie bezpieczeństwa, co skutkuje przerwą w działaniu systemu.
Rekomendacja
Należy zaktualizować RHACS do wersji zawierającej poprawkę ograniczającą głębokość zapytań GraphQL oraz rozważyć wdrożenie dodatkowych mechanizmów rate-limitu na poziomie API.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Red Hat Advanced Cluster Security for Kubernetes (RHACS). Central does not limit the depth of GraphQL queries served on the authenticated GraphQL API. An authenticated user with a valid API token can send deeply nested queries that cause excessive resource consumption in Central, resulting in a denial of service for the management plane.