CVE-2026-7163 in Multicluster Engine for Kubernetes
요약
\~에 의해 VulDB • 2026. 05. 16.
Multicluster Engine(MCE)의 선택적 Assisted Installer(assisted-service) 구성 요소인 Assisted Service REST API에 취약점이 존재합니다. 최소한의 네임스페이스 범위 권한을 가진 인증된 사용자가 허브(hub)를 통해 프로비저닝된 임의의 클러스터에 대한 관리 자격 증명을 획득할 수 있습니다.
자격 증명 다운로드 엔드포인트(GET /v2/clusters/{cluster_id}/credentials, kubeadmin 비밀번호를 반환함)와 kubeconfig 다운로드 엔드포인트는 온프레미스 ACM/MCE 허브 배포에서 사용 가능한 유일한 인증 모드인 AUTH_TYPE=local 모드에서 작동합니다. 로컬 인증자는 유효한 JWT를 포함하는 모든 요청에 엔드포인트별 제한 없이 무조건적으로 전체 관리 액세스 권한을 부여합니다. 유효한 로컬 JWT는 InfraEnvStatus.ISODownloadURL의 평문 쿼리 매개변수로 삽입되며, 자신의 네임스페이스에서 InfraEnv 개체에 대한 get 권한이 있는 모든 사용자가 읽을 수 있습니다.
영향을 받는 구성 요소는 Multicluster Engine(MCE)의 일부로 제공됩니다. MCE를 포함하는 Red Hat Advanced Cluster Management(ACM) 배포도 동일하게 영향을 받습니다. 이 문제는 다른 인증 모드를 사용하는 호스팅 SaaS 제공 서비스(console.redhat.com)에는 영향을 미치지 않습니다.
성공적인 악용 시 공격자는 영향받는 허브를 통해 프로비저닝된 모든 OpenShift 클러스터에 대한 kubeadmin 비밀번호와 kubeconfig를 획득하게 되며, 이를 통해 해당 스포크(spoke) 클러스터에 대한 제한 없는 루트 수준의 관리 액세스 권한을 얻게 됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.