CVE-2026-70495
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W komponencie search-v2-operator stwierdzono wadę. Konto usługowe `search-serviceaccount` ma zbyt szerokie uprawnienia, umożliwiające podszywanie się pod użytkowników i grupy w całym klastrze. Jeśli atakujący uzyska dostęp do dowolnego poda działającego na tym koncie usługowym, może wykorzystać to do uzyskania dostępu `system:masters`, co daje pełną kontrolę nad klastrem.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ przejęcie konta usługowego może prowadzić do pełnej kompromitacji klastra Kubernetes, w tym dostępu do wszystkich zasobów i danych. Wymaga to jednak wcześniejszego dostępu do poda.
Rekomendacja
Zaleca się natychmiastowe ograniczenie uprawnień konta usługowego `search-serviceaccount` zgodnie z zasadą najmniejszych uprawnień. Należy również monitorować dostęp do podów i audytować uprawnienia.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in search-v2-operator. This component's `search-serviceaccount` has overly broad permissions, allowing it to impersonate users and groups across the entire cluster. If an attacker gains access to any of the pods running under this service account, they could exploit this to achieve `system:masters` access, granting them full control over the cluster.