「Multicluster Global Hub」の脆弱性 CVE-2026-66792: 不適切な認可

CVE ID	CVE-2026-66792
対象製品	Multicluster Global Hub (Red Hat)
CVSS	9.9 / 10 (緊急) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE	CWE-863 (不適切な認可)
公開日	2026年8月17日
更新日	2026年8月17日

CVE ID

CVE-2026-66792

対象製品

Multicluster Global Hub (Red Hat)

CVSS

9.9 / 10 (緊急)

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

CWE

CWE-863 (不適切な認可)

公開日

2026年8月17日

更新日

2026年8月17日

どんな危険があるか

multicloud-operators-subscriptionコンポーネントに、権限昇格の脆弱性が存在します。マネージドクラスター上のユーザーは、特定の細工されたアノテーションを持つサブスクリプションを作成することで、自身の権限を昇格させることができます。攻撃が成功すると、コントローラーのサービスアカウントの昇格された権限で、任意の名前空間にリソースをデプロイできるようになります。これにより、クラスターリソースへの不正アクセスや制御が可能になる深刻な影響があります。

今すぐやること

Red Hat Multicluster Global Hub および Red Hat Advanced Cluster Management for Kubernetes の利用者は、Red Hatが提供するセキュリティアドバイザリを確認し、推奨される修正パッチを速やかに適用してください。不正な権限昇格を防ぐため、迅速な対応が必要です。ベンダーのセキュリティ情報に従い、システムを保護してください。

本ページの情報は公開時点 (2026年8月18日) のものです。最新情報は上記の出典を確認してください。

本ページは CVE Program のデータを含みます。CVE および関連するロゴは MITRE Corporation の商標です。CVE レコードは CVE Terms of Use に基づき再構成・掲載しています。

脆弱性データの一部は採番機関 (CNA) 「redhat」のアドバイザリを出典としています。データは db.gcve.eu (CIRCL / GCVE) 経由で取得しました。