CVE-2026-92393
NiskieCVSS 2.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Apache YuniKorn w wersjach do 1.9.0 nie sprawdza etykiet i adnotacji użytkownika dla akcji UPDATE obciążeń, co pozwala ominąć wszystkie kontrolę. Ominięcie umożliwia każdemu użytkownikowi ustawienie dowolnej adnotacji użytkownika oraz zmianę identyfikatora aplikacji, co może dać dostęp do kolejki, do której normalnie nie ma uprawnień. Zalecana jest aktualizacja do wersji 1.10.0.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do kolejek i naruszenia limitów przydziału zasobów, a także obejścia kontroli przydziału opartych na użytkowniku.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache YuniKorn do wersji 1.10.0, która naprawia tę podatność.
Inne podatności w Apache YuniKorn
Zobacz wszystkie- CVE-2026-97146Średnie
Apache YuniKorn w wersji 1.9.0 i wcześniejszych pozwala obejść sprawdzanie adnotacji użytkownika poprzez ustawienie dodatkowej etykiety na podzie. Jeśli pod ma etykietę 'app=yunikorn', kontrole ograniczające zawartość adnotacji użytkownika nie są uruchamiane, co pozwala dowolnemu użytkownikowi podać dowolną adnotację z informacjami o użytkowniku. Może to umożliwić dostęp do kolejki, do której użytkownik normalnie nie ma dostępu, wpłynąć na wykorzystanie limitu kolejki oraz obejść śledzenie limitów użytkownika.
- CVE-2026-78243Niskie
Apache YuniKorn w wersjach 1.8.0 i nowszych, przy skonfigurowanym resolverze grup LDAP, ulega awarii z powodu odczytu poza zakresem podczas przetwarzania wpisów członkostwa w grupach. Jeśli serwer LDAP zwróci wpis członkostwa (atrybut memberOf) dla użytkownika, a rekord nie zaczyna się od "CN=", serwer ulega awarii. Dotyczy to tylko instalacji z niestandardowym dostawcą grup LDAP. Zalecana jest aktualizacja do wersji 1.10.0.
Oryginalny opis (angielski, źródło NVD)
Apache YuniKorn 1.9.0 and earlier does not implement label and user annotation checks for workload UPDATE action bypassing all checks. Workloads in YuniKorn are defined as the following Kubernetes objects: "deployments", "replicasets", "statefulsets", "daemonsets", "jobs", "cronjobs". The CREATE action correctly enforces the checks for all object types. The bypass allows any user to specify an arbitrary user info annotation. The same bypass also allows changing the application ID for the workload. The combination of the two applied in one UPDATE could allow access to a queue that the user normally would not have access to. Quota usage for the queue might be impacted if the application runs in the incorrect queue. User based quota enforcement is also based on the user annotation. User quota tracking could be side stepped even if the application runs in the correct queue. Users are recommended to upgrade to version 1.10.0, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS