CVE-2026-54680
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- 0.4%
- CWE
- CWE-74
- KEV Durumu
- Hayır
Yayım tarihi: 29 Temmuz 2026
Oturum açma operatörü, Kubernetes oturum açma boru hatlarının dağıtımını ve yapılandırmasını otomatikleştirir. 6.6.0 sürümünden önce, Fluentd yapılandırma renderleyici FluentRender pkg/sdk/logging/model/render/fluent.go dosyasında CRD dizeleri gibi Flow record_transformer.records değerlerini doğrudan fluent.conf dosyasına kaçırmadan yazar ve bu da bir Flow kaynağı oluşturabilen bir kullanıcının Fluentd <match **> bloğunu @type exec kullanarak enjekte etmesine ve Fluentd toplayıcısı içinde keyfi komutları çalıştırmasına olanak tanır. Bu sorun 6.6.0 sürümünde giderilmiştir.
Orijinal açıklama (İngilizce)
Logging operator automates the deployment and configuration of Kubernetes logging pipelines. Prior to 6.6.0, the Fluentd configuration renderer FluentRender in pkg/sdk/logging/model/render/fluent.go writes CRD strings such as Flow record_transformer.records values directly into fluent.conf without escaping, allowing a user who can create Flow resources to inject a Fluentd <match **> block using @type exec and execute arbitrary commands inside the Fluentd aggregator. This issue is fixed in version 6.6.0.
Referanslar
- https://github.com/kube-logging/logging-operator/commit/cf437d7f1e056c78740bf5716ac8bdebcf002425
- https://github.com/kube-logging/logging-operator/releases/tag/6.6.0
- https://github.com/kube-logging/logging-operator/security/advisories/GHSA-mjqf-28ph-426h
- https://github.com/kube-logging/logging-operator/security/advisories/GHSA-mjqf-28ph-426h
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.