Durante o bootstrap do ABI, o `approve-csr.service` no nó de bootstrap aprova e assina cada Solicitação de Assinatura de Certificado (CSR) sem realizar a validação de identidade. Um invasor na rede de instalação pode recuperar o arquivo Ignition não autenticado através das portas 22623 ou 22624, extrair um kubeconfig limitado e enviar um CSR para `CN=system:admin`. Isso permite que o invasor receba um certificado assinado e obtenha acesso total de cluster-admin. Este problema é explorável apenas durante a janela estreita de bootstrap.