CVE-2026-105312
Açıklama
Console özel kaynakları üzerinde oluşturma iznine sahip bir Kubernetes kiracısı, spec.containers.api.spec.image değerini rastgele bir konteyner imajı olarak ayarlayabilir. Operatör bu imajı; ServiceAccount'u, tüm Strimzi CRD'leri (KafkaUsers dahil) üzerinde küme genelinde get/list/watch, Kafkas/KafkaRebalances üzerinde patch ve cluster-monitoring-view yetkileri veren bir ClusterRole'e ClusterRoleBinding ile bağlı olan bir poda dağıtır. Saldırganın kodu, yansıtılan SA belirtecini okur ve kiracılar arası Strimzi kontrol düzlemi okuma+yazma erişimi elde eder.
Nasıl düzeltilir
- Red Hat StreamsHub Console for Apache Kafka®0.12.10, 0.14.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Red Hat StreamsHub Console for Apache Kafka® | 0.2.0 ≤ v < 0.12.10, 0.13.0 ≤ v < 0.14.2 | 0.12.10, 0.14.2 |
| Red Hat streams for Apache Kafka 3 | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.