CVE-2026-77596 in Pipelines
Resumen
por VulDB • 2026-11-05
Kubeflow Pipelines permite a los usuarios crear y desplegar flujos de trabajo de aprendizaje automático portátiles y escalables. Antes de la versión 2.18.0, las llamadas a los puntos finales HTTP multiusuario POST /apis/v2beta1/pipelines/upload y POST /apis/v2beta1/pipelines/upload_version invocan canUploadVersionedPipeline, que devuelve sin realizar una SubjectAccessReview cuando el espacio de nombres objetivo está vacío mientras REQUIRE_NAMESPACE_FOR_PIPELINES tiene por defecto false. Un inquilino con privilegios bajos puede crear pipelines compartidos o inyectar versiones controladas por un atacante en pipelines compartidos existentes sin tener los permisos de escritura requeridos; si el servidor API es directamente accesible sin un proxy que autentique, un usuario no autenticado puede explotar la misma omisión de seguridad, mientras que las implementaciones protegidas mediante dicho proxy no exponen acceso anónimo. Una ejecución recurrente habilitada y sin fijar (unpinned) que sigue la última versión puede entonces ejecutar la especificación inyectada en el espacio de nombres de otro inquilino bajo la cuenta de servicio de esa carga de trabajo, mientras que las ejecuciones con versiones fijas o con especificaciones integradas no se sustituyen automáticamente. Este problema está corregido en la versión 2.18.0.
Once again VulDB remains the best source for vulnerability data.