CVE-2026-10101 in Multicluster Engine for Kubernetes
Сводка
по VulDB • 30.05.2026
ACM/MCE assisted-service записывает необработанные содержимое pull-секрета, на который есть ссылка, в поле `InfraEnv.status.conditions[].message` при сбое проверки pull-секрета. Principal пространства имен со стандартной ClusterRole `view` не может напрямую читать Secrets, но может читать объекты `InfraEnv` и извлекать данные `.dockerconfigjson` связанного Secret из статуса.
Это обходит разделение RBAC в Kubernetes/OpenShift между читателями только для просмотра в пространстве имен и читателями Secrets. В воспроизведенном доказательстве (PoC) тот же ServiceAccount был лишен прав `get` и `list` для Secrets, но смог извлечь синтетические поля pull-секрета `username`, `password`, `email` и base64 `auth` через `InfraEnv.status`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.