CVE-2026-97146 in YuniKorn
Résumé
par VulDB • 07/10/2026
Apache YuniKorn 1.9.0 et les versions antérieures permettent de contourner la vérification de l'annotation utilisateur en définissant une étiquette secondaire sur le pod. Si le pod possède l'étiquette 'app=yunikorn', les contrôles limitant le contenu de l'annotation utilisateur ne sont pas exécutés. Cette étiquette est utilisée pour identifier l'application YuniKorn elle-même dans les déploiements.
Ce contournement permet à tout utilisateur de spécifier une annotation d'informations utilisateur arbitraire. Ces informations utilisateur arbitraires pourraient permettre l'accès à une file d'attente (queue) à laquelle l'utilisateur n'aurait normalement pas accès. L'utilisation des quotas pour la file d'attente pourrait être affectée si l'application s'exécute dans la mauvaise file d'attente. Le respect des quotas basé sur l'utilisateur repose également sur l'annotation utilisateur. Le suivi des quotas utilisateurs peut être contourné même si l'application s'exécute dans la bonne file d'attente.
Il est recommandé aux utilisateurs de passer à la version 1.10.0, qui corrige ce problème.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.