CVE-2026-71470
Publiée le 2026-08-19 · Dernière modification le 2026-10-26
Les utilisateurs disposant des permissions de modification des ressources personnalisées (Custom Resources) dans le `search-v2-operator` peuvent modifier les images de conteneurs et les variables d'environnement pour injecter du code malveillant ou voler des secrets. Comme l'opérateur utilise un ServiceAccount hautement privilégié, un attaquant peut exploiter cet accès pour augmenter ses privilèges et potentiellement prendre le contrôle total de l'ensemble du cluster Kubernetes. Cette attaque peut être réalisée via le réseau et ne nécessite aucune interaction de l'utilisateur, bien qu'elle exige que l'attaquant possède déjà un accès administratif de haut niveau à la ressource concernée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in the search-v2-operator. This vulnerability allows a privileged user, specifically a Custom Resource (CR) editor, to manipulate Search CR fields such as imageOverride, arguments, and environment variables without proper validation. By exploiting this, an attacker can mount arbitrary secrets into a search container's environment or replace the container image with an attacker-controlled one. This leads to privilege escalation and can result in a full cluster compromise due to the ServiceAccount's extensive impersonation permissions.