CVE-2026-61850
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Kargo zarządza i automatyzuje promocję artefaktów oprogramowania. Od wersji 0.6.0 do 1.8.14, 1.9.9 i 1.10.8 dwie luki w autoryzacji w „interfejsie API RBAC o zakresie projektu” pozwalały uwierzytelnionemu użytkownikowi z delegowanymi uprawnieniami do zarządzania „Rolami” lub „Kontami usług” projektu nadawać uprawnienia przekraczające te, które posiada użytkownik. Użytkownik uprawniony do edycji „Roli” może tworzyć, zastępować lub dodawać reguły przyznające uprawnienia, których nie posiada; użytkownik upoważniony do edytowania konta usługi roli może powiązać tożsamość, w tym własną tożsamość użytkownika, z potężniejszą rolą. Rola Kargo obejmuje „ServiceAccount, Role i RoleBinding” w przestrzeni nazw projektu. Zmiany są zapisywane przy użyciu szeroko uprzywilejowanych poświadczeń serwera API po jedynie zgrubnym sprawdzeniu edycji rodzaju zasobu, a nie sprawdzaniu każdego nadawanego uprawnienia. Umożliwia to eskalację dostępu do uprawnień administratora projektu, ujawnienie „tajemnic projektu” i danych uwierzytelniających oraz modyfikację lub usunięcie zasobów projektu. Skradzione poświadczenia Git, rejestru kontenerów lub rejestru Helm mogą rozszerzyć wpływ na poufność i integralność tych systemów zewnętrznych. Eskalacja pozostaje ograniczona do projektów, w których osoba atakująca ma już delegację zarządzania RBAC i sama nie przyznaje dostępu do całego klastra ani między projektami. Domyślne role inne niż administratorzy nie zezwalają na te operacje; wykorzystanie wymaga „niestandardowej roli utworzonej przez administratora” przyznającej odpowiednie uprawnienia i kontrolę nad kontem przypisanym do tej roli. Ten problem został rozwiązany w wersjach 1.8.14, 1.9.9 i 1.10.8.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/akuity/kargo/commit/19639678811b486bddb014dabb25397771f3941e
- https://github.com/akuity/kargo/commit/50d29c10153965114f903645c83eadbe7bf58d3f
- https://github.com/akuity/kargo/commit/5ab7c4216a4151f55ea8ef9ff3b9f884dd322578
- https://github.com/akuity/kargo/commit/72fadd3600b35e6dce67042eb686720a48b45fa3
- https://github.com/akuity/kargo/releases/tag/v1.10.8
- https://github.com/akuity/kargo/releases/tag/v1.11.0-rc.1
- https://github.com/akuity/kargo/releases/tag/v1.8.14
- https://github.com/akuity/kargo/releases/tag/v1.9.9
- https://github.com/akuity/kargo/security/advisories/GHSA-wp4p-hr79-q4g8
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org