CVE-2026-88980 in Pipelines
要約
〜によって VulDB • 2026年11月05日
Kubeflow Pipelinesは、ユーザーがポータブルでスケーラブルな機械学習ワークフローを構築およびデプロイできるようにします。バージョン2.18.0より前では、フロントエンドのGET /artifacts/getルートはsource=httpまたはsource=httpsを受け入れ、呼び出し元が制御するバケットとキー値を使用可能であり、isAllowedResourceName関数はURLパーサーによってIPv4アドレスに変換されるすべての数字からなる10進数のホストを許可します。デフォルトのALLOWED_ARTIFACT_DOMAIN_REGEXおよび認証無効化スタンドアロン構成により、未認証の呼び出し元が内部HTTPリソースを取得し、そのレスポンスボディを受信できます。認証済みマルチユーザー構成では、同じ宛先検証欠陥が、有効なIDと承認された名前空間を持つ低権限テナントによって到達可能です。クラウド資格情報の漏洩は、到達可能なメタデータサービスおよび付与されたロールに依存し、この問題はメタデータがブロックされている場合、IMDSv2のバイパスや資格情報へのアクセスを確立するものではありません。本問題はバージョン2.18.0で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.