Veille sécuritéBackend & données
P3Élevée
Une configuration kubeconfig contenant un plug-in `exec` peut conduire le proxy de console OSAC à exécuter un processus arbitraire dans son pod ; un serveur de cluster contrôlé par l’attaquant peut également provoquer une SSRF. Le problème concerne les déploiements en mode de cluster VM distant ou automatique et est corrigé dans la version 0.0.4.
GoKubernetes
IdentifiantCVE-2026-62284
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.0.4
Analyse technique
Le résolveur de configuration accepte les champs ExecProvider et AuthProvider du kubeconfig lu depuis un Secret étiqueté osac.openshift.io/remote-cluster-kubeconfig: "true". Lors de la création du transport HTTP, client-go peut invoquer le plug-in exec.
Impact, versions et correctif
Événement datéAvis GHSA publié le 2026-11-06T18:12:40Z, dans la période demandée.
ImpactExécution de code dans le pod du proxy de console ; SSRF possible depuis ce pod.
Versions affectées< 0.0.4
Version corrigée0.0.4
ContournementRestreindre la création et la modification des Secrets concernés, passer en mode local si possible, ou rejeter par politique les kubeconfigs contenant des stanzas exec ou auth-provider.
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,51% · percentile 43,4%
Publication2026-11-06T18:12:40Z
Mise à jour2026-11-06T18:12:41Z
Action recommandée
Mettre à niveau vers la version 0.0.4 ou ultérieure et restreindre l’accès aux Secrets lus par le proxy.
Sources
Priorisation DFS : P3 · 1 source(s).