CVE-2026-77596 Falta de autorización en el servidor de API de Kubeflow Pipelines para la carga de pipelines compartidos
Antes de 2.18.0, los endpoints multiusuario POST /apis/v2beta1/pipelines/upload y POST /apis/v2beta1/pipelines/upload_version de Kubeflow Pipelines llaman a canUploadVersionedPipeline, que retorna sin SubjectAccessReview cuando el namespace destino está vacío y REQUIRE_NAMESPACE_FOR_PIPELINES tiene el valor predeterminado false. Un tenant de bajos privilegios puede crear pipelines compartidos o inyectar versiones controladas por el atacante en pipelines compartidos existentes sin el permiso de escritura…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 16
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
kubeflow pipelines
< 2.18.0
Qué hacer
- Verificá si usás pipelines y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.6 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
Kubeflow Pipelines enables users to build and deploy portable, scalable machine learning workflows. Prior to 2.18.0, the multi-user HTTP endpoints POST /apis/v2beta1/pipelines/upload and POST /apis/v2beta1/pipelines/upload_version call canUploadVersionedPipeline, which returns without SubjectAccessReview when the target namespace is empty while REQUIRE_NAMESPACE_FOR_PIPELINES defaults to false. A low-privilege tenant can create shared pipelines or inject attacker-controlled versions into existing shared pipelines without the required write permission; if the API server is directly reachable without an authenticating proxy, an unauthenticated caller can exploit the same bypass, while deployments protected by such a proxy do not expose anonymous access. An enabled unpinned recurring run that follows the latest version can then execute the injected specification in another tenant's namespace under that workload's service account, while pinned or embedded-specification runs are not automatically substituted. This issue is fixed in version 2.18.0.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.