CVE-2026-17107 in Multicluster Engine for Kubernetes
要約
〜によって VulDB • 2026年07月24日
Red Hat Advanced Cluster Management for Kubernetes (RHACM) および multicluster-engine (MCE) で使用されている cluster-proxy の service-proxy コンポーネントに欠陥が見つかった。service-proxy は、呼び出し元が提供した値をまず削除せずに、プロキシされたリクエストに対して Impersonation グループヘッダーを追加する。また、spoke ServiceAccount には制限のない Impersonate パーミッションが付与されている。認証済み hub プリンシパルは Impersonate-Group ヘッダーを注入することで、すべての管理対象クラスターにおいて cluster-admin に権限昇格できる。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.