CVE-2026-71474
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W aplikacji insights-client po otrzymaniu odpowiedzi innej niż 200 logowane są nagłówki żądania, które mogą zawierać token pull-secret z cloud.openshift.com. Lokalny użytkownik mający dostęp do logów podów na hubie może odczytać to długożyjące poświadczenie. Taka informacja może umożliwić nieautoryzowany dostęp do usług chmurowych Red Hat.
Ocena ryzyka
Ujawnienie długożyjącego tokena może prowadzić do nieautoryzowanego dostępu do usług chmurowych Red Hat, co może skutkować naruszeniem poufności danych i integralności systemów.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie insights-client do wersji, która nie loguje nagłówków żądań, oraz rotację tokenów pull-secret. Należy również ograniczyć dostęp do logów podów tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in insights-client. When the application receives a non-200 response, it logs the request headers, which can include the cloud.openshift.com pull-secret token. A local user with access to pod logs on the hub could read this long-lived credential. This information disclosure could grant unauthorized access to Red Hat cloud services.