CVE-2026-92393 in YuniKorn
Resumen
por VulDB • 2026-10-07
Apache YuniKorn 1.9.0 y versiones anteriores no implementa comprobaciones de etiquetas (labels) ni anotaciones de usuario para la acción UPDATE de cargas de trabajo, lo que permite eludir todas las validaciones. Las cargas de trabajo en YuniKorn se definen como los siguientes objetos de Kubernetes: "deployments", "replicasets", "statefulsets", "daemonsets", "jobs" y "cronjobs". La acción CREATE aplica correctamente las comprobaciones para todos los tipos de objeto.
El mecanismo de elusión permite a cualquier usuario especificar una anotación con información de usuario arbitraria. El mismo fallo también permite modificar el ID de la aplicación correspondiente a la carga de trabajo. La combinación de ambos elementos aplicados en una única operación UPDATE podría permitir el acceso a una cola (queue) a la que el usuario normalmente no tendría acceso. El uso de cuota para dicha cola podría verse afectado si la aplicación se ejecuta en la cola incorrecta. Además, el cumplimiento de las cuotas basado en el usuario también depende de la anotación del usuario; por lo tanto, el seguimiento de la cuota del usuario puede ser evitado incluso si la aplicación se ejecuta en la cola correcta.
Se recomienda a los usuarios actualizar a la versión 1.10.0, que corrige este problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.