CVE-2026-66788
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- 0.4%
- CWE
- CWE-1104
- KEV Durumu
- Hayır
Yayım tarihi: 20 Ağustos 2026
Lighthouse'da bir zafiyet bulundu. Uzak bir saldırgan, bir spoke kümesini tehlikeye atarak, kaynak enjeksiyonu için hedef ad alanı bir saldırgan tarafından kontrol edilen broker nesnesindeki bir etiket veya açıklamadan türetilen bir zafiyeti sömürebilir. Bu, saldırgana yetkisiz EndpointSlices ve ServiceImports'ı eş küme中的 herhangi bir ad alanında, kube-system ve openshift-* gibi kritik sistem ad alanları dahil olmak üzere enjekte etme olanağı sağlar. Bu, küme içinde ayrıcalık yükselmesine veya sistem tehlikeye atılmasının diğer biçimlerine yol açabilir.
Orijinal açıklama (İngilizce)
A flaw was found in Lighthouse. A remote attacker, by compromising a spoke cluster, can exploit a vulnerability where the destination namespace for resource injection is derived from an attacker-controlled label or annotation on the broker object. This allows the attacker to inject unauthorized EndpointSlices and ServiceImports into any namespace on peer clusters, including critical system namespaces like kube-system and openshift-*. This could lead to privilege escalation or other forms of system compromise within the cluster.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.