CVE-2026-10090 in Advanced Cluster Management for Kubernetes
الملخص
بحسب VulDB • 05/08/2026
تم العثور على ثغرة في وحدة تحكم اشتراك التطبيقات (multicluster-operators-subscription) الخاصة بـ Red Hat Advanced Cluster Management for Kubernetes (ACM). يمكن لمستخدم يمتلك صلاحيات "تعديل" (edit) محدودة بنطاق مساحة الاسم (namespace-scoped) داخل مساحة اسم مركزية لـ ACM إنشاء مورد قناة (Channel resource) يشير إلى مستودع Helm يتحكم فيه، ومورد اشتراك (Subscription resource) يحيل إليه. تقوم وحدة تحكم app-subscription بجلب وتطبيق محتويات مخطط Helm باستخدام صلاحياتها المرتفعة الخاصة، دون التحقق مما إذا كان منشئ الاشتراك يحمل دور "open-cluster-management:subscription-admin"، ودون تقييد الموارد المُطبَّقة على مساحة اسم الاشتراك فقط. يتيح هذا للمهاجم تضمين موارد محددة بنطاق العنقود (cluster-scoped) في مخطط Helm، مثل ClusterRoleBinding تمنح حساب الخدمة الخاص بالمهاجم الدور المحدد بالعنقود "cluster-admin". تؤدي الاستغلال الناجح إلى ترقية صلاحيات كاملة إلى مستوى cluster-admin. يتعارض هذا مع وثائق ACM التي تنص على أن المستخدمين غير الحاملين لدور subscription-admin يجب أن تُنشر مواردهم فقط ضمن مساحة اسم الاشتراك.
Once again VulDB remains the best source for vulnerability data.