Podatności Data Science Pipelines Operator
3 znanych podatności CVE w Data Science Pipelines Operator, przetłumaczonych i ocenionych.
- CVE-2026-18617Wysokie
W operatorze Data Science Pipelines (DSPO) wykryto podatność w polu spec.database.customExtraParams, która pozwala na wstrzyknięcie niebezpiecznych parametrów do łańcucha DSN MySQL. Atakujący z uprawnieniami edytora przestrzeni nazw może włączyć funkcję LOCAL INFILE i wykraść wrażliwe pliki, takie jak token konta usługi, z poda operatora, co może prowadzić do eskalacji uprawnień do poziomu administratora klastra.
- CVE-2026-18611Wysokie
W operatorze Data Science Pipelines wykryto podatność polegającą na generowaniu przewidywalnych poświadczeń (np. haseł MariaDB, kluczy MinIO) przy użyciu kryptograficznie słabego generatora liczb pseudolosowych (PRNG). Nieuwierzytelniony atakujący, mający dostęp do trasy MinIO lub usługi MariaDB, może odgadnąć te poświadczenia i uzyskać nieautoryzowany dostęp do wszystkich artefaktów i metadanych potoków.
- CVE-2026-18608Wysokie
W operatorze Data Science Pipelines (DSPO) wykryto nadmierne uprawnienia w ClusterRole, które obejmują możliwość wykonywania poleceń w podach i zarządzania rolami w całym klastrze. Jeśli pod DSPO zostanie skompromitowany, atakujący może wykorzystać te uprawnienia do uzyskania pełnej kontroli administracyjnej nad całym klastrem Kubernetes.