CVE-2026-92393 in YuniKorn
Sumário
de VulDB • 07/10/2026
O Apache YuniKorn nas versões 1.9.0 e anteriores não implementa verificações de anotações de rótulo (label) e usuário para a ação UPDATE de carga de trabalho, contornando todas as validações. As cargas de trabalho no YuniKorn são definidas como os seguintes objetos do Kubernetes: "deployments", "replicasets", "statefulsets", "daemonsets", "jobs" e "cronjobs". A ação CREATE aplica corretamente as verificações para todos os tipos de objeto.
O contorno permite que qualquer usuário especifique uma anotação arbitrária com informações de usuário. O mesmo contorno também permite alterar o ID do aplicativo da carga de trabalho. A combinação das duas vulnerabilidades aplicada em um único UPDATE pode permitir o acesso a uma fila à qual o usuário normalmente não teria permissão. O uso da cota (quota) para essa fila pode ser impactado se o aplicativo for executado na fila incorreta. A aplicação baseada no usuário também depende da anotação de usuário; portanto, o rastreamento das cotas do usuário pode ser contornado mesmo que o aplicativo seja executado na fila correta.
Recomenda-se aos usuários atualizarem para a versão 1.10.0, que corrige este problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.