漏洞概述 漏洞编号：CVE-2026-10843 漏洞标题：Bug 2484738 (CVE-2026-10843) - CVE-2026-10843 cloud-credential-operator: CCO Mint-mode CredentialsRequest manifests grant account-wide IAM access beyond cluster scope on AWS 报告时间：2026-06-04 12:55 UTC by OSIDB Bzimport 修改时间：2026-06-04 11:57 UTC (History) CC List：0 users 产品：Security Response 组件：vulnerability 版本：unspecified 硬件：All 操作系统：Linux 优先级：high 严重性：high 目标里程碑：--- 分配给：Product Security DevOps Team QA 联系人：--- 文档联系人：--- URL：--- 白名单：--- 依赖项：--- 阻塞项：--- 树视图：Depends on / blocked 影响范围 描述：在 OpenShift Container Platform for AWS 中，Cloud Credential Operator (CCO) Mint-mode 的 CredentialsRequest 规范为 Image Registry、Machine API、Ingress Operator 和 EBS CSI Driver 请求了具有资源 的 IAM 策略，用于破坏性操作（如 S3 CreateBucket/DeleteBucket/GetBucket/HeadObject/DeleteObject、EC2 TerminateInstances/RunInstances、Route53 ChangeResourceRecordSets、EC2 DeleteVolume/DeleteSnapshot）。这授予了操作员对账户中任何 AWS 资源的访问权限，而不仅仅是集群拥有的资源。攻击者可以通过漏洞利用、RBAC 提升或 Secret 读取获得这些凭据，从而对同一账户中的无关 AWS 资源执行破坏性操作，包括删除 S3 存储桶、终止 EC2 实例、修改其他工作负载或集群的 DNS 记录以及删除 EBS 卷。 修复方案 修复版本：--- 关闭版本：--- 最后关闭：--- 已冻结：--- 附件 OSIDB Bzimport：2026-06-04 11:55:46 UTC 描述： 其他信息 注意：您需要登录才能在此漏洞上发表评论或进行更改。 页脚 隐私政策