CVE-2026-47701

Nome do Software Vulnerável e Versões Afetadas opentelemetry-operator (versões afetadas não especificadas)

Description O TargetAllocator no OpenTelemetry Operator processa recursos ServiceMonitor e converte endpoints em configurações de raspagem (scrape) do Prometheus. Um locatário com permissões para criar ou atualizar um ServiceMonitor pode definir o parâmetro bearerTokenFile para apontar para arquivos sensíveis no sistema de arquivos do pod do Collector, como /var/run/secrets/kubernetes.io/serviceaccount/token. Durante o processo de raspagem, o OpenTelemetry Collector lê o conteúdo do arquivo especificado e o envia como um token Bearer para um alvo controlado pelo invasor. Isso permite que um invasor roube o JWT da conta de serviço do pod do Collector ou leia qualquer outro arquivo acessível ao pod, potencialmente permitindo acesso não autorizado à API do Kubernetes, dependendo das permissões concedidas à conta de serviço do Collector.

Recommendations Ative a configuração DenyFSAccessThroughSMs para garantir que o Target Allocator descarte endpoints de ServiceMonitor e PodMonitor que referenciem arquivos arbitrários no sistema de arquivos, especificamente aqueles que utilizam bearerTokenFile, tlsConfig.caFile, tlsConfig.certFile ou tlsConfig.keyFile.