30秒で判断
- 対応すべき人: Red Hat Advanced Cluster Management（ACM）／multicluster engine（MCE）を運用し、ClusterCurator リソースへの create/update 権限をテナントに付与している環境の管理者。
- 対応不要な人: ACM/MCE を利用していない／既に該当エラータ適用済み。
- 確認ポイント: MCE/ACM のバージョンと、ClusterCurator への RBAC 付与範囲を確認。
概要
本脆弱性は multicluster engine（MCE）の cluster-curator-controller コンポーネントに存在します。CreateJob() 関数が spec.install.overrideJob の raw extension をアンマーシャルする際、ユーザー制御可能な入力を検証しません。
このため、ClusterCurator リソースへの create または update 権限を持つテナントが、任意のJob定義を注入できます。注入されたJobはコントローラの昇格権限で実行されるため、任意コード実行と権限昇格に至り、クラスタ全体のSecretへのアクセスにつながる可能性があります。
同一エラータでは、関連する権限昇格 CVE-2026-73269（ClusterRoleBinding 生成、CVSS 9.9）と CVE-2026-66795（CSR自動承認の検証不備、CVSS 9.9）も修正されています。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 9.9（Critical） |
| CWE | CWE-94（コード注入） |
| 前提条件 | ClusterCurator への create/update 権限 |
| 影響 | コントローラ権限でのコード実行・権限昇格 |
影響を受けるソフトウェア
| 製品 | 対象 |
|---|---|
| Red Hat Advanced Cluster Management / multicluster engine（MCE） | cluster-curator-controller |
修正バージョンと回避策
- Red Hat のエラータ（RHSA-2026:59556 ほか）に従い、対象コンポーネントを修正版へアップデートしてください。
- ClusterCurator リソースへの create/update 権限の付与範囲を最小権限に見直してください。
関連リンク
データソース: NVD (NIST), Red Hat Security AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。