CVE-2026-75924
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wykryto wadę w managed-serviceaccount. Zaatakowany pod addon-manager, ze względu na nadmierne uprawnienia nadane przez ClusterRole, może odczytać dowolne sekrety we wszystkich przestrzeniach nazw. Dodatkowo może zatwierdzać dowolne żądania podpisania certyfikatów (CSR), co może prowadzić do ujawnienia informacji i eskalacji uprawnień w klastrze.
Ocena ryzyka
Kompromitacja poda addon-manager może prowadzić do ujawnienia wrażliwych danych (sekrety) oraz eskalacji uprawnień w całym klastrze Kubernetes.
Rekomendacja
Zaleca się ograniczenie uprawnień ClusterRole dla addon-manager oraz monitorowanie i audytowanie żądań CSR.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in managed-serviceaccount. A compromised addon-manager pod, due to its ClusterRole granting excessive permissions, can read any secret across all namespaces. Additionally, it can approve arbitrary Certificate Signing Requests (CSRs), which could lead to information disclosure and privilege escalation within the cluster.