CVE-2026-47701

OpenTelemetry Operator, OpenTelemetry Collector üçün nəzərdə tutulmuş bir Kubernetes Operatorudur. 0.152.0 versiyasından əvvəl, targetAllocator.prometheusCR.enabled parametri true olaraq təyin edilmiş cmd/otel-allocator TargetAllocator instansları seçilmiş ServiceMonitor son nöqtəsinin (endpoint) bearerTokenFile dəyərini HTTPClientConfig.Authorization.CredentialsFile kimi saxlayır. serviceMonitorSelector və serviceMonitorNamespaceSelector tərəfindən uyğunlaşdırılan ServiceMonitor resursunu yarada və ya yeniləyə bilən bir tenant, bearerTokenFile parametrini Collector podundakı hər hansı fayla, o cümlədən /var/run/secrets/kubernetes.io/serviceaccount/token faylına yönləndirə və skrapinqi (scraping) özünün idarə etdiyi son nöqtəyə yönəldə bilər. Collector həmin faylı skrapinq zamanı oxuyur və hər skrapinq intervalında onun məzmununu bearer avtorizasiyası kimi göndərir. Bu boşluğun istismarı üçün həmçinin Collector service-account tokeninin və ya digər həssas faylın mount edilmiş olması və Collector-un seçilmiş hədəfə çata bilməsi tələb olunur. DenyFSAccessThroughSMs nəzarət mexanizminin olmaması Collector-un service-account JWT-sinin və ya digər mount edilmiş faylların ifşa olunmasına şərait yaratmışdır və bunun nəticəsində Kubernetes API-ya təsir Collector service account-unun icazələri ilə məhdudlaşır. Bu problem 0.152.0 versiyasında düzəldilib.