PT-2025-44155 · Red Hat · Trustyai+1
CVE-2025-12103
·
Publicado
2025-10-28
·
Atualizado
2025-11-12
CVSS v3.1
5.0
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Red Hat Openshift AI Service (versões afetadas não especificadas)
Descrição
Existe uma falha no componente TrustyAI do Red Hat Openshift AI Service. Este componente concede a todas as contas de serviço e usuários dentro de um cluster permissões para recuperar, listar e monitorar qualquer pod em todos os namespaces. Especificamente, o TrustyAI cria uma role chamada
trustyai-service-operator-lmeval-user-role e um ClusterRoleBinding chamado trustyai-service-operator-default-lmeval-user-rolebinding. Esta vinculação é aplicada a system:authenticated, efetivamente permitindo que qualquer usuário autenticado ou conta de serviço acesse informações de pod em qualquer namespace. Os usuários também podem acessar todos os persistentvolumeclaims e lmevaljobs.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Incorrect Privilege Assignment
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Red Hat Openshift Ai Service
Trustyai