高 8.8

OpenShift Pipelines-as-Codeの脆弱性で namespaceの権限を昇格される

CVE-2026-50240 SecPulse初出 11月7日 6:53

概要

OpenShift Pipelines-as-Codeには、Repositoryを作成した利用者の権限が検証されない脆弱性（CVE-2026-50240）があります。Repositoryとシークレットの作成・削除権限だけを持つ利用者が、自動作成されるパイプラインのサービスアカウントとして任意のPipelineRunを実行でき、namespaceの編集権限相当の操作が可能になります。CVSSは8.8です。修正版の情報は確認できていないため、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
Red Hat	Red HatBuilds for Red Hat OpenShift	—	記載なし
Red Hat	Red HatOpenShift Pipelines	—	記載なし
Red Hat	Red HatOpenShift Serverless	—	記載なし
Red Hat	Red HatRed Hat OpenShift Dev Spaces	—	記載なし
Red Hat	Red HatRed Hat Web Terminal	—	記載なし
GitHub	GitHubpipelines-as-code	0.42.4 未満→ 0.42.4 0.43.0 以上 0.48.2 未満→ 0.48.2 0.49.0 以上 0.50.1 未満→ 0.50.1	0.42.4 0.48.2 0.50.1

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

A flaw was found in OpenShift Pipelines-as-Code (PAC). PAC does not verify whether the creator of a Repository custom resource has permission to create PipelineRuns. A namespace user with only Repository and Secret create/delete permissions can cause PAC to execute attacker-controlled PipelineRuns as the auto-provisioned pipeline ServiceAccount, which carries ClusterRole/edit by default. This results in namespace-scoped privilege escalation, enabling Secret read, resource creation/modification/deletion, and potential supply chain injection in CI/CD namespaces.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory