Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-66794 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-08-19 |
| Producent | Red Hat |
| Produkt | Advanced Cluster Management |
| CVSS Score | 9.3 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD
W komponencie
cluster-proxy-addonproduktu Multicluster Engine for Kubernetes wykryto lukę pozwalającą nieuwierzytelnionemu atakującemu, który ma dostęp do trasy widocznej dla użytkowników, na ominięcie kontroli uwierzytelniania i autoryzacji. Manipulując segmentami ścieżki URL, atakujący może proxyować żądania do dowolnych usług w klastrze. Ten alert obejmuje także CVE-2026-71470 (CVSS 9.1) w komponenciesearch-v2-operator: użytkownik uprzywilejowany, konkretnie edytor Custom Resource, może manipulować polami Search CR —imageOverride, argumentami i zmiennymi środowiskowymi — bez właściwej walidacji, montując dowolne sekrety do kontenera.
Wymagane działania
- Zastosuj poprawki Red Hat dla Multicluster Engine i Advanced Cluster Management zgodnie z biuletynami dla CVE-2026-66794 i CVE-2026-71470.
- Oceń zasięg właściwie: MCE zarządza wieloma klastrami naraz. Obejście uwierzytelnienia w proxy nie dotyczy jednego środowiska, tylko wszystkiego, do czego dana instancja ma dostęp.
- Sprawdź, czy trasa
cluster-proxy-addonjest wystawiona poza sieć wewnętrzną. Atak wymaga dostępu do trasy widocznej dla użytkowników — ograniczenie ekspozycji istotnie zawęża okno. - Przy CVE-2026-71470 przejrzyj, kto ma uprawnienia edytora Custom Resource dla zasobów Search. Ta podatność zamienia je w praktyce w możliwość odczytu dowolnych sekretów w klastrze.
Kogo dotyczy?
Organizacje używające Red Hat Advanced Cluster Management lub Multicluster Engine do zarządzania środowiskami OpenShift i Kubernetes. W Polsce to typowo bankowość, telekomunikacja i duże środowiska kontenerowe.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
