CVE-2026-47701

opentelemetry-operator (لم يتم تحديد الإصدارات المتأثرة)

يقوم TargetAllocator في OpenTelemetry Operator بمعالجة موارد ServiceMonitor وتحويل نقاط النهاية إلى تكوينات جمع البيانات في Prometheus. يمكن للمستأجر الذي يمتلك أذونات لإنشاء أو تحديث ServiceMonitor تحديد المعلمة bearerTokenFile للإشارة إلى الملفات الحساسة الموجودة في نظام ملفات pod الخاص بـ Collector، مثل /var/run/secrets/kubernetes.io/serviceaccount/token. أثناء عملية الاستخراج، يقرأ OpenTelemetry Collector محتويات الملف المحدد ويرسلها كرمز Bearer إلى هدف يتحكم فيه المهاجم. وهذا يسمح للمهاجم بسرقة JWT لحساب خدمة pod الخاص بـ Collector أو قراءة أي ملف آخر يمكن لـ pod الوصول إليه، مما قد يتيح الوصول غير المصرح به إلى واجهة برمجة تطبيقات Kubernetes اعتمادًا على الأذونات الممنوحة لحساب خدمة Collector.

قم بتمكين الإعداد DenyFSAccessThroughSMs لضمان قيام «مخصص الهدف» (Target Allocator) بإسقاط نقاط نهاية ServiceMonitor وPodMonitor التي تشير إلى ملفات عشوائية على نظام الملفات، وتحديدًا تلك التي تستخدم bearerTokenFile أو tlsConfig.caFile أو tlsConfig.certFile أو tlsConfig.keyFile.