CVE-2026-91923
WysokieCVSS 7.7Streszczenie
KubeSphere w wersjach do 4.1.3 zawiera podatność typu server-side request forgery w endpoincie weryfikacji poświadczeń git, który przyjmuje niezwalidowane URL-e dostarczone przez wywołującego bez ograniczeń allowlisty. Uwierzytelnieni atakujący mogą podać dowolne URL-e, aby dotrzeć do usług wewnętrznych i wykraść poświadczenia basic-auth z Sekretów w dowolnym namespace.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać dostęp do usług wewnętrznych i wykraść poświadczenia z Sekretów Kubernetes, co może prowadzić do eskalacji uprawnień i przejęcia klastra.
Rekomendacja
Zaktualizuj KubeSphere do wersji nowszej niż 4.1.3, a do czasu aktualizacji ogranicz dostęp do endpointu weryfikacji poświadczeń git oraz wdróż allowlistę dozwolonych URL-i.
Inne podatności w KubeSphere
Zobacz wszystkie- CVE-2026-71208Średnie
Proces reconciliacji cluster-controller w KubeSphere (pkg/utils/clusterclient/clusterclient.go, addCluster) przetwarza konfigurację połączenia każdego zasobu niestandardowego Cluster i natychmiast wywołuje Discovery.ServerVersion wobec punktu końcowego API Kubernetes określonego w CRD, który jest parsowany tylko pod kątem składni URL (url.Parse) bez listy dozwolonych/zabronionych dla adresów loopback, prywatnych RFC1918, link-local czy adresów metadanych chmury (np. 169.254.169.254).
- CVE-2026-55998Średnie
Endpoint /v3/import/{token}_{clusterId}.yaml pobiera obiekt klastra przed walidacją tokena. Gdy prawidłowy identyfikator klastra odnosi się do klastra z skonfigurowanymi sekretami rejestru prywatnego, dereferencja nil w pkg/systemtemplate/private_registry.go powoduje zwrócenie HTTP 502 Bad Gateway. Dla nieistniejących identyfikatorów klastra endpoint zwraca HTTP 200. Ta różnica w kodach odpowiedzi stanowi wiarygodne źródło do enumeracji.
Oryginalny opis (angielski, źródło NVD)
KubeSphere through 4.1.3 contains a server-side request forgery vulnerability in the git credential verification endpoint that accepts unvalidated caller-supplied URLs without allowlist restrictions. Authenticated attackers can supply arbitrary URLs to reach internal services and exfiltrate basic-auth credentials from Secrets in any namespace by leveraging the endpoint's error response handling.