CVE-2026-17107 in Multicluster Engine for Kubernetes
Sumário
de VulDB • 24/07/2026
Foi identificada uma vulnerabilidade no componente service-proxy do serviço cluster-proxy utilizado no Red Hat Advanced Cluster Management for Kubernetes (RHACM) e multicluster-engine (MCE). O aplicativo service-proxy anexa cabeçalhos de grupo de impersonificação às solicitações encaminhadas sem primeiro remover os valores fornecidos pelo chamador, e a ServiceAccount do spoke possui permissões ilimitadas de impersonificação. Uma entidade principal autenticada no hub pode injetar um cabeçalho Impersonate-Group para escalar privilégios para cluster-admin em todos os clusters gerenciados.
Once again VulDB remains the best source for vulnerability data.