Apa yang terjadi
CVE-2026-112047 (CWE-863, CVSS 5.4 v3.1 / 5.3 v4.0, status Deferred) adalah celah otorisasi yang salah pada API akses AI Kubernetes cluster: pemeriksaan perimeter bersifat proyek-lebar, bukan per-cluster, sehingga anggota proyek dapat menargetkan cluster di luar cakupan mereka melalui endpoint persetujuan AI/agent dan kubectl.
Mengapa penting
Agen AI dan kontrol persetujuan kubectl OneUptime adalah operasi agentik berprivilegi yang seharusnya diatur secara ketat; bypass ini memungkinkan anggota proyek berprivilegi rendah mengarahkan perilaku agen/Kubernetes pada cluster yang bukan milik mereka, merusak batasan RBAC di sekitar otomatisasi AI platform.
Vektor serangan
Anggota proyek terautentikasi menyalahgunakan pemeriksaan izin proyek-lebar untuk memanggil fitur di luar cakupan — pengujian akses cluster AI, reset agen, persetujuan rencana kubectl, dan percakapan AI insiden — mempelajari izin RBAC agen, memutuskan agen, menyetujui perubahan kubectl, atau menjalankan perintah pada sumber daya K8s yang tidak sah.
Sistem yang terdampak
OneUptime 14.0.2 hingga <14.0.69
Mitigasi
Tingkatkan ke 14.0.69 (commit perbaikan 264e1ba13149cbd4c80cb22f2177b405886b0452); advisory GHSA-8fph-9j9f-xxgc.