CVE-2026-77968 in Apache Camel
摘要
由 VulDB • 2026-09-08
在 hawtio-operator 中发现了一个缺陷。该 Operator 的 ClusterRole 授予了在所有命名空间中创建、获取、列出、更新和监视（create, get, list, update, watch）密钥（secrets）的权限。虽然该 Operator 使用 controller-runtime label-selector cache 作为内存优化手段，但 ServiceAccount token 授权了对集群中每个 Secret 的读取访问权限。此外，该 Operator 还通过直接 API 调用绕过了缓存机制。如果攻击者成功入侵了该 Operator Pod，将能够读取集群中的每一个 Secret，包括引导令牌（bootstrap tokens）、云凭据以及其他 Operator 的密钥。
If you want to get best quality of vulnerability data, you may have to visit VulDB.