CVE-2026-77596
Açıklama
Kubeflow Pipelines, kullanıcıların taşınabilir ve ölçeklenebilir makine öğrenimi iş akışları oluşturmasını ve dağıtmasını sağlar. 2.18.0 sürümünden önce, çok kullanıcılı HTTP uç noktaları POST /apis/v2beta1/pipelines/upload ve POST /apis/v2beta1/pipelines/upload_version, hedef ad alanı boşken ve REQUIRE_NAMESPACE_FOR_PIPELINES varsayılan olarak false iken SubjectAccessReview olmadan dönen canUploadVersionedPipeline işlevini çağırır. Düşük ayrıcalıklı bir kiracı, gerekli yazma izni olmadan paylaşılan işlem hatları oluşturabilir veya mevcut paylaşılan işlem hatlarına saldırgan tarafından kontrol edilen sürümler enjekte edebilir; API sunucusuna kimlik doğrulama proxy'si olmadan doğrudan erişilebiliyorsa, kimliği doğrulanmamış bir çağıran aynı atlatmayı kullanabilirken, bu tür bir proxy ile korunan dağıtımlar anonim erişimi açığa çıkarmaz. Etkinleştirilmiş ve sabitlenmemiş, en son sürümü izleyen yinelenen bir çalıştırma, enjekte edilen belirtimi başka bir kiracının ad alanında o iş yükünün hizmet hesabı altında yürütebilirken, sabitlenmiş veya gömülü belirtimli çalıştırmalar otomatik olarak değiştirilmez. Bu sorun 2.18.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kubeflow pipelines | < 2.18.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.