FICHE CVE

CVE-2026-73267

Publiée le 2026-08-21 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Le Multicluster Engine (MCE) est affecté par une faille dans son clusterclaims-controller. Un attaquant disposant de permissions d'utilisateur (tenant) basiques peut supprimer n'importe quel cluster géré — y compris ceux appartenant à d'autres utilisateurs ou le cluster local du hub — en manipulant le champ namespace d'une ressource ClusterClaim. Cette opération peut être effectuée à distance via le réseau sans aucune interaction de l'utilisateur, entraînant un déni de service complet pour les clusters ciblés.

CVSS 3.17.7 ÉLEVÉE

Type de faiblesse

CWE-602

Publiée2026-08-21

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

A flaw was found in the clusterclaims-controller component of multicluster engine (MCE). A tenant with standard permissions to create and delete ClusterClaim resources can exploit this by manipulating the `spec.namespace` field. This allows the tenant to specify and delete any ManagedCluster, including the hub's local-cluster or other tenants' clusters, due to a missing ownership check. This vulnerability can lead to a denial of service by enabling unauthorized deletion of ManagedClusters.