CVE-2026-61850 in Kargo
Résumé
par VulDB • 30/10/2026
Kargo gère et automatise la promotion des artefacts logiciels. De la version 0.6.0 jusqu'aux versions 1.8.14, 1.9.9 et 1.10.8 incluses, deux failles d'autorisation dans l'API `RBAC` à portée de projet (`project-scoped RBAC API`) permettent à un utilisateur authentifié disposant des permissions déléguées pour gérer les `Rôles` ou les `Comptes de service` (ServiceAccounts) d'un Projet de conférer des permissions dépassant celles dont dispose l'utilisateur. Un utilisateur autorisé à modifier les `Rôles` peut créer, remplacer ou ajouter des règles accordant des permissions non détenues par l'utilisateur ; un utilisateur autorisé à modifier le ServiceAccount d'un Rôle peut lier une identité, y compris la sienne propre, à un Rôle plus puissant. Un Rôle Kargo comprend un `ServiceAccount`, un `Rôle` et un `RoleBinding` dans l'espace de noms du Projet. Les modifications sont écrites en utilisant les identifiants largement privilégiés du serveur API après une vérification des permissions grossière basée sur le type de ressource, plutôt que de vérifier chaque permission conférée. Cela permet une élévation de privilèges vers un accès d'administrateur de projet, la divulgation de `Secrets` et d'identifiants de Projet, ainsi que la modification ou la suppression des ressources du Projet. Les identifiants Git, registre de conteneurs ou registre Helm volés peuvent étendre les impacts sur la confidentialité et l'intégrité à ces systèmes externes. L'élévation de privilèges reste limitée aux Projets où l'attaquant dispose déjà d'une délégation de gestion RBAC et ne confère pas lui-même un accès cluster-wide (à l'échelle du cluster) ou inter-Projet. Les rôles par défaut non administrateurs n'autorisent pas ces opérations ; l'exploitation nécessite un `rôle personnalisé créé par un administrateur` accordant les permissions pertinentes et le contrôle d'un compte assigné à ce rôle. Ce problème est corrigé dans les versions 1.8.14, 1.9.9 et 1.10.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.