CVE-2026-88981
Açıklama
Kubeflow Pipelines, kullanıcıların taşınabilir ve ölçeklenebilir makine öğrenimi iş akışları oluşturmasını ve dağıtmasını sağlar. 2.18.0 sürümünden önce, source=s3 veya source=minio için frontend artifact indirme yolu providerInfo.Params.endpoint değerini kabul ediyordu ve arşivlenmiş pod-log yolu, iş akışı durumundan S3 uyumlu endpoint meta verilerini kabul ediyordu; bu endpoint'lerin operatör tarafından kontrol edilen depolama yapılandırmasıyla eşleşmesi gerekmiyordu. Sunulan yetkilendirme devre dışı bağımsız yapılandırmada, kimliği doğrulanmamış bir çağıran, paylaşılan ml-pipeline-ui pod'unun erişilebilir rastgele ana bilgisayarlara bağlanmasını sağlayabilir ve yanıt verilerini döndürebilir; istekler ayrıca yapılandırılmış nesne deposu kimlik bilgileriyle imzalandığında bir erişim anahtarı tanımlayıcısını açığa çıkarabilir. Çok kullanıcılı gizli anahtar destekli meta veriler sunucu ad alanıyla sınırlı kalmaya devam eder. Bu sorun 2.18.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kubeflow pipelines | < 2.18.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.