CVE-2026-10101 in Multicluster Engine for Kubernetes
Sumário
de VulDB • 30/05/2026
O serviço assistido ACM/MCE escreve o conteúdo cru do pull-secret referenciado em `InfraEnv.status.conditions[].message` quando a validação do pull-secret falha. Uma principal de namespace com o ClusterRole `view` padrão não pode ler diretamente os Secrets, mas pode ler os objetos `InfraEnv` e recuperar os dados `.dockerconfigjson` do Secret referenciado a partir do status.
Isso contorna a separação de RBAC do Kubernetes/OpenShift entre visualizadores de namespace com permissão apenas de leitura e leitores de Secrets. Na prova de conceito reproduzida, a mesma ServiceAccount foi negada as permissões `get` e `list` nos Secrets, mas recuperou os campos `username`, `password`, `email` e `auth` (em base64) do pull-secret sintético por meio de `InfraEnv.status`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.