PT-2026-137185
CVE-2026-103002
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
GPUStack الإصدارات من 2.2.0 إلى 2.2.1
Description
يقوم
cluster apiserver proxy بتوجيه طلبات المستخدمين الموثقين غير المسؤولين إلى مجموعة Kubernetes مختارة دون إجراء فحص تفويض على مستوى المورد. يستخدم الوكيل بيانات اعتماد ServiceAccount الخاصة بـ Kubernetes لعامل (worker) يمكن الوصول إليه، مما يسمح للمهاجم بقراءة الموارد الحساسة، أو إنشاء أو تعديل أعباء العمل، أو حذف الموارد وفقًا للأذونات الممنوحة لـ ServiceAccount tersebut. في البيئات التي تحتوي على مجموعة مزود Kubernetes وعامل يمكن الوصول إليه، قد يؤدي ذلك إلى تنفيذ تعليمات برمجية في المجموعة المستهدفة من خلال أعباء عمل يتحكم فيها المهاجم.Recommendations
التحديث إلى الإصدار 2.2.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾