CVE-2026-120656

Le kruise-manager d'OpenKruise, un outil utilisé pour la gestion avancée des charges de travail dans Kubernetes, présente une faille où le point de terminaison `ppof` est exposé au réseau public sur le port 8090. Ce point de terminaison est activé par défaut et ne nécessite aucune authentification pour y accéder. Comme il écoute sur toutes les interfaces réseau (0.0.0.0), il est accessible par tout processus au sein du cluster.

Un attaquant peut utiliser n'importe quel pod disposant de permissions RBAC de base pour envoyer une requête à ce point de terminaison et déclencher une attaque par déni de service (DoS), provoquant le plantage du gestionnaire et affectant la disponibilité du système. Aucun identifiant spécial ni interaction utilisateur n'est requis pour exécuter cette action. L'attaque nécessite uniquement un accès réseau au port de service du gestionnaire depuis l'environnement Kubernetes.