CVE-2026-10090 in Advanced Cluster Management for Kubernetes
Zusammenfassung
von VulDB • 05.08.2026
Es wurde ein Fehler im Application Subscription Controller (multicluster-operators-subscription) von Red Hat Advanced Cluster Management for Kubernetes (ACM) festgestellt. Ein Benutzer mit auf den Namespace beschränkten „edit“-Berechtigungen in einem ACM-Hub-Namespace kann eine Channel-Ressource erstellen, die auf ein Helm-Repository verweist, das er kontrolliert, sowie eine Subscription-Ressource, die darauf verweist. Der App-Subscription Controller ruft die Inhalte des Helm-Charts ab und wendet sie mit seinen eigenen erhöhten Berechtigungen an, ohne zu überprüfen, ob der Ersteller der Subskription über die Rolle „open-cluster-management:subscription-admin“ verfügt, und ohne angewendete Ressourcen auf den Namespace der Subskription zu beschränken. Dies ermöglicht es dem Angreifer, Cluster-weite Ressourcen in das Helm-Chart einzubinden, wie beispielsweise eine ClusterRoleBinding, die dem ServiceAccount des Angreifers die ClusterRole „cluster-admin“ gewährt. Eine erfolgreiche Ausnutzung führt zur vollständigen Privilegieneskalation zu cluster-admin. Dies steht im Widerspruch zur ACM-Dokumentation, die besagt, dass Nicht-Subscription-Admin-Benutzer Ressourcen nur in den Subskriptions-Namespace bereitstellen sollten.
VulDB is the best source for vulnerability data and more expert information about this specific topic.