무슨 일이 있었나
CVE-2026-112047 (CWE-863, CVSS 5.4 v3.1 / 5.3 v4.0, 상태: Deferred)은 Kubernetes 클러스터 AI 액세스 API의 잘못된 권한 부여 취약점입니다: 경계 검사가 클러스터별이 아닌 프로젝트 전체로 수행되므로, 프로젝트 구성원이 AI/에이전트 및 kubectl 승인 엔드포인트를 통해 자신의 범위 밖의 클러스터를 대상으로 지정할 수 있습니다.
왜 중요한가
OneUptime의 AI 에이전트와 kubectl 승인 제어는 엄격하게 범위가 지정되어야 하는 권한 있는 에이전트 작업입니다. 이 우회로 인해 권한이 낮은 프로젝트 구성원이 소유하지 않은 클러스터의 에이전트/Kubernetes 동작을 조종할 수 있으며, 이는 플랫폼의 AI 자동화 주변의 RBAC 경계를 약화시킵니다.
공격 경로
인증된 프로젝트 구성원이 프로젝트 전체 권한 검사를 남용하여 범위 밖 기능 — AI 클러스터 액세스 테스트, 에이전트 리셋, kubectl 계획 승인, 사고 AI 대화 — 을 호출하여 에이전트 RBAC 권한을 학습하고, 에이전트를 연결 해제하며, kubectl 변경을 승인하거나, 승인되지 않은 K8s 리소스에서 명령을 실행합니다.
영향받는 시스템
OneUptime 14.0.2 이상 14.0.69 미만
완화 방안
14.0.69로 업그레이드하세요(수정 커밋 264e1ba13149cbd4c80cb22f2177b405886b0452); 권고 GHSA-8fph-9j9f-xxgc.