CVE-2026-93685

ŚrednieCVSS 5.4

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

Wykryto lukę w multicluster-observability-addon. Zdalny atakujący może uzyskać dostęp do punktu końcowego debugowania bez uwierzytelnienia z powodu błędnej konfiguracji w bibliotece addon-framework. Umożliwia to ujawnienie wrażliwych informacji operacyjnych, takich jak szczegóły goroutine, sterty i wiersza poleceń, po nawiązaniu podstawowego szyfrowanego połączenia. Luka nie umożliwia bezpośredniego zdalnego wykonania kodu.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać informacje operacyjne o klastrze, co może ułatwić rekonesans i dalsze ataki na środowisko Kubernetes.

Rekomendacja

Zaktualizuj multicluster-observability-addon do wersji z poprawką i ogranicz dostęp sieciowy do punktów końcowych debugowania.

Inne podatności w multicluster-observability-addon

CVE-2026-89060Wysokie
W multicluster-observability-addon występuje błąd autoryzacji między przestrzeniami nazw, który pozwala użytkownikowi z uprawnieniem do modyfikacji konfiguracji ManagedClusterAddOn odwołać się do zasobów ClusterLogForwarder lub OpenTelemetryCollector spoza dozwolonej przestrzeni nazw. Jeśli zasoby te odwołują się do Secretów, dodatek może skopiować te Secrety do klastra zarządzanego kontrolowanego przez atakującego.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in the multicluster-observability-addon. A remote attacker can access a debug endpoint without authentication, due to a misconfiguration in the underlying addon-framework library. This allows for the disclosure of sensitive operational information, such as goroutine, heap, and command-line details, after completing a basic encrypted connection. This vulnerability does not enable direct remote code execution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS