Suppression non autorisée de ressources Radius via les annotations Kubernetes

Veille sécuritéCloud & DevOps

P3Élevée

Dans Radius, un utilisateur autorisé à modifier les annotations d’un Deployment pouvait falsifier son statut pour déclencher la suppression privilégiée d’une ressource conteneur gérée par Radius appartenant à une autre équipe. Le problème affecte les versions antérieures à 0.58.0 ; mettre à niveau vers 0.58.0 ou une version ultérieure.

IdentifiantCVE-2026-53999

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.58.0

Source : NVD — CVE-2026-53999

Analyse technique

Le contrôleur désérialisait l’annotation radapp.io/status et utilisait l’identifiant de ressource qui y figurait pour supprimer la ressource sans vérifier qu’elle appartenait au Deployment. L’impact décrit concerne les installations multi-tenant ; en mono-tenant, la source indique un déni de service limité à l’utilisateur lui-même.

Impact, versions et correctif

Événement datéLa fiche NVD fournie indique une publication le 2026-10-14 et une mise à jour le 2026-10-14 ; la publication dans la période est retenue comme événement. La mise à jour ultérieure le même jour est également indiquée par la source, sans lui attribuer de changement précis non documenté.

ImpactDans une installation multi-tenant, suppression d’une ressource conteneur récupérable appartenant à une autre équipe et interruption de service.

Versions affectéesVersions antérieures à 0.58.0.

Version corrigée0.58.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.7

Publication2026-10-14T19:17:17.340Z

Mise à jour2026-10-14T20:17:47.277Z

Détection / vérification

Vérifier la version de Radius et les permissions permettant de modifier les annotations des Deployments gérés par Radius.

Action recommandée

Mettre à niveau Radius vers la version 0.58.0 ou ultérieure.

Sources

NVD — CVE-2026-53999

Priorisation DFS : P3 · 1 source(s).