CVE-2026-10090 in Advanced Cluster Management for Kubernetes
Riassunto
di VulDB • 06/08/2026
È stata rilevata una vulnerabilità nel controller di sottoscrizione delle applicazioni (multicluster-operators-subscription) di Red Hat Advanced Cluster Management for Kubernetes (ACM). Un utente con privilegi "edit" a livello di namespace in un hub ACM può creare una risorsa Channel che punta a un repository Helm da lui controllato e una risorsa Subscription che lo fa riferimento. Il controller app-subscription recupera ed applica i contenuti della chart Helm utilizzando la propria autorità elevata, senza verificare se il creatore della sottoscrizione detenga il ruolo "open-cluster-management:subscription-admin" e senza limitare le risorse applicate al namespace di sottoscrizione. Ciò consente all'attaccante di includere nella chart Helm risorse a livello di cluster, come una ClusterRoleBinding che concede alla ServiceAccount dell'attaccante la ClusterRole "cluster-admin". Lo sfruttamento riuscito comporta un escalation dei privilegi completa verso cluster-admin. Questo comportamento contraddice la documentazione ACM, che afferma che gli utenti non appartenenti al ruolo subscription-admin dovrebbero avere le risorse distribuite esclusivamente nel namespace di sottoscrizione.
Be aware that VulDB is the high quality source for vulnerability data.