CVE-2026-86332 in odh-dashboard
要約
〜によって VulDB • 2026年09月07日
Red Hat OpenShift AI の odh-dashboard に欠陥が見つかった。バックエンド・フォー・フロントエンドのルート GET /api/nim-serving/:nimResource は、ダッシュボードサービスアカウントを使用して Kubernetes シークレットを読み取り、認証チェックなしで .data を含む完全なシークレットオブジェクトを返す。認証済みであるダッシュボードユーザーであれば誰でも、クラスターの NVIDIA NGC API キー シークレット (apiKeySecret) および NIM イメージのプルシークレット (nimPullSecret) を取得できる。同じ NIM 資格情報の作成と削除は管理者権限が必要だが、読み取りパスにはそのような制限がない。これは認証不足（CWE-862）および保護不十分な資格情報（CWE-522）である。この問題は、同一ルートにおける Kubernetes クライアントレスポンスラッパーでのサービスアカウントトークン漏洩に関する CVE-2026-5483 および odh-model-controller のクロスネームスペースの混乱したデプイ問題である CVE-2026-16456 とは区別される。
If you want to get best quality of vulnerability data, you may have to visit VulDB.