PT-2026-30871 · Unknown · Open Cluster Management+1

Arnaud Fevrier · Publicado 2026-04-07 · Atualizado 2026-04-09 · CVE-2026-4740

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Open Cluster Management (OCM) (affected versions not specified)

Description Uma falha foi encontrada devido à validação inadequada da renovação do certificado de cliente Kubernetes. Isso permite que um administrador de cluster gerenciado falsifique um certificado de cliente que pode ser aprovado pelo controlador OCM, levando potencialmente à escalada de privilégios entre clusters e ao controle de outros clusters gerenciados, incluindo o cluster hub.

Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

LPE

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2026-4740

GHSA-Q4GV-PJMH-C735

Produtos afetados

Kubernetes

Open Cluster Management

Referências · 9

• 🔥 https://blog.arfevrier.fr/open-cluster-management-cross-cluster-escape · Exploit
• https://github.com/open-cluster-management-io/OCM · Nota
• https://github.com/open-cluster-management-io/ocm/commit/9e70cc1e21a15239c81111062c0b37df4b5a8026 · Nota
• https://bugzilla.redhat.com/show_bug.cgi?id=2450590 · Aviso do Fabricante
• https://twitter.com/pulsepatchio/status/2042071397405749614 · Publicação no Twitter
• https://access.redhat.com/security/cve/CVE-2026-4740 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-4740 · Nota de Segurança
• https://twitter.com/CVEnew/status/2041603235908092075 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-q4gv-pjmh-c735 · Aviso do Fabricante