Dans les déploiements multi-utilisateurs de Kubeflow Pipelines antérieurs à 2.18.0, le cache d’exécution legacy V1/raw-Argo peut partager des résultats entre espaces de noms, permettant à un utilisateur capable de soumettre des workloads d’accéder à des sorties mises en cache ou d’en faire réutiliser. Mettre à niveau vers 2.18.0 ou une version ultérieure.
Source : NVD — CVE-2026-88982
Analyse technique
Le calcul et les recherches de clés du cache legacy ne prennent pas en compte l’espace de noms Kubernetes; une annotation mutable peut aussi influencer la publication des résultats. Le problème vise le chemin legacy V1/raw-Argo dans des services de cache partagés; les pods de composants KFP V2 standard ne suivent pas ce chemin.
Impact, versions et correctif
Action recommandée
Mettre Kubeflow Pipelines à niveau vers 2.18.0 ou une version ultérieure; examiner l’usage du cache legacy dans les déploiements multi-utilisateurs.
Sources
Priorisation DFS : P4 · 1 source(s).