В компоненте контроллера кластерных претензий Multicluster Engine (MCE) была обнаружена ошибка. Прошедший проверку подлинности клиент может воспользоваться этой уязвимостью, манипулируя метками ClusterClaim. Это позволяет арендатору принудительно присоединить кластер к ManagedClusterSet, принадлежащему другому арендатору.
Такой несанкционированный доступ может привести к внедрению политик и рабочих нагрузок в кластеры других арендаторов.
Показать оригинальное описание (EN)
A flaw was found in the clusterclaims-controller component of Multicluster Engine (MCE). An authenticated tenant can exploit this vulnerability by manipulating ClusterClaim labels. This allows the tenant to force a cluster to join a ManagedClusterSet belonging to another tenant. Such unauthorized access could enable the injection of policies and workloads into other tenants' clusters.
Характеристики атаки
Последствия
Строка CVSS v3.1