PT-2026-76789
CVE-2026-66795
·
تاريخ النشر
2026-08-17
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
managedcluster-import-controller (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يحتوي برنامج managedcluster-import-controller على ثغرة في منطق الموافقة التلقائية على طلب توقيع الشهادة (CSR). يفشل النظام في التحقق بشكل صحيح من صحة طلبات توقيع الشهادات (CSR) الواردة لأنه لا يتحقق من اسم الموقّع ولا يقوم بفك تشفير طلب توقيع الشهادة x509 المشفر بتنسيق PEM. وهذا يسمح لحساب خدمة ذي امتيازات على مجموعة متفرعة (spoke cluster) بإرسال طلب توقيع شهادة خبيث، مما قد يؤدي إلى تصعيد الامتيازات ويسمح للمهاجم بالحصول على بيانات اعتماد إدارية على مجموعة المحور (hub cluster).
التوصيات
في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾