Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-7163 medium CVSS 6.1

Vulnérabilité dans Multicluster Engine (CVE-2026-7163)

Résumé

Vulnérabilité dans Multicluster Engine (CVE-2026-7163). Des informations confidentielles peuvent être exposées. Exploitable via GET /v2/clusters/{cluster_id}/credentials.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

A vulnerability in the assisted-service REST API, an optional Assisted Installer (assisted-service) component in the Multicluster Engine (MCE), allows an authenticated user with minimal namespace-scoped privileges to obtain administrative credentials for arbitrary clusters provisioned through the hub.

The credentials download endpoint (GET /v2/clusters/{cluster_id}/credentials, which returns the kubeadmin password) and the kubeconfig download endpoint are operational in AUTH_TYPE=local mode, the only authentication mode available in on-premises ACM/MCE hub deployments. The local authenticator unconditionally grants full administrative access to any request bearing a valid JWT, with no per-endpoint restrictions. A valid local JWT is embedded as a plaintext query parameter in InfraEnvStatus.ISODownloadURL and is readable by any user who has get rights on an InfraEnv object in their own namespace.

The affected components ship as part of Multicluster Engine (MCE). The Red Hat Advanced Cluster Management (ACM) deployments that include MCE are equally affected.
This issue does not affect the hosted SaaS offering (console.redhat.com), which uses a different authentication mode.

Successful exploitation gives the attacker the kubeadmin password and kubeconfig for any OpenShift cluster provisioned through the affected hub, granting unrestricted root-level administrative access to those spoke clusters.

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-7163 a été découverte dans Multicluster Engine.
Des attaquants peuvent cibler un point d'entrée spécifique comme GET /v2/clusters/{cluster_id}/credentials à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 6.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « Multicluster Engine CVE-2026-7163 » sur le site de l'éditeur.

CVE-2026-7163 (Multicluster Engine) — CWE-312 / CVSS v3 6.1
Vecteur d'attaque : réseau adjacent
Surface d'attaque : GET /v2/clusters/{cluster_id}/credentials
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-312) affecte Multicluster Engine. Les attaquants atteignent le code vulnérable via GET /v2/clusters/{cluster_id}/credentials.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de Multicluster Engine. Surface d'attaque : GET /v2/clusters/{cluster_id}/credentials.

🔥 Gravité

Gravité : Moyenne (CVSS 6.1/10). Des informations confidentielles peuvent être exposées.

🔧 Comment corriger

Mettre à jour vers la version corrigée selon l'avis éditeur.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs webserver/proxy/WAF des requêtes anormales vers GET /v2/clusters/{cluster_id}/credentials (en-têtes d'auth malformés, méta-caractères SQL).

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    Audit SBOM/dependencies for affected components.

    資産台帳・SBOM・依存マニフェストで Multicluster Engine を使っているサービスとバージョンを洗い出す。

  2. 2
    Hunt for indicators of compromise detect 
    grep 'GET /v2/clusters/{cluster_id}/credentials' /var/log/nginx/access.log | grep -E '(unusual_payload|sqli_pattern)'

    アクセスログで GET /v2/clusters/{cluster_id}/credentials への異常なリクエスト (不正な認証ヘッダ・SQLメタ文字)を過去 30〜90日分捜索。WAF/SIEM があれば該当パスのアラート発火履歴を確認。

  3. 3
    Post-deployment verification verify 
    Replay attack against GET /v2/clusters/{cluster_id}/credentials on staging to confirm patch closes the vector

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 2 と同じログクエリでアラート再発が無いか継続監視。

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus