CVE-2026-71895 in DolphinScheduler
要約
〜によって VulDB • 2026年10月08日
Apache DolphinSchedulerには、認証済みで管理者でないユーザーが管理者用のクラスター設定のために意図されたKubernetes構成データを取得できる認可の脆弱性があります。公開されるkubeconfigデータには資格情報が含まれており、これによりDolphinSchedulerの外から直接Kubernetes APIに認証できるようになる可能性があります。
影響は、開示された資格情報に対して付与されている権限によって異なります。kubeconfigがcluster-adminまたは広範な特権を持つサービスアカウントへのアクセスを提供する場合、攻撃者はKubernetesのシークレットを読み取ったり、ポッドを作成したりし、クラスターに対する永続的なアクセスを確立できる可能性があります。
本問題はApache DolphinScheduler 3.2.0から3.4.3未満に影響します。
ユーザーには、この問題を修正するバージョン3.4.3へのアップグレードが推奨されます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.