JVNDB-2026-006248

ControlPlane Enterprise for Flux CDのflux_operatorにおける複数の脆弱性

Flux Operatorは、CNCF Flux CDおよびControlPlaneエンタープライズディストリビューションのライフサイクルを管理するKubernetesのCRDコントローラーです。バージョン0.36.0から0.40.0未満の間に、Flux OperatorのWeb UI認証コードに権限昇格の脆弱性が存在し、攻撃者がKubernetes RBACのなりすましを回避してオペレーターのサービスアカウント権限でAPIリクエストを実行できる可能性があります。この脆弱性が成立するには、クラスター管理者が期待されるクレーム（例：`email`、`groups`）を欠くトークンを発行するOIDCプロバイダーでFlux Operatorを設定するか、空の値を返す可能性のあるカスタムCEL式を構成している必要があります。OIDCトークンクレームがCEL式を通じて処理された後、生成された`username`および`groups`の値が空でないかどうかの検証は行われません。両方の値が空の場合、Kubernetesのclient-goライブラリはAPIリクエストに対してなりすましヘッダーを追加しません。そのため、そのリクエストは認証されたユーザーの限定された権限ではなくflux-operatorサービスアカウントの資格情報で実行されてしまいます。これにより権限昇格、データ漏洩、および情報開示が発生する可能性があります。この問題はバージョン0.40.0で修正されています。

ControlPlane Enterprise for Flux CD

• flux_operator 0.36.0 以上 0.40.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Web UI Impersonation Bypass via Empty OIDC Claims  Advisory  controlplaneio-fluxcd/flux-operator  GitHub

1. 不適切な権限管理(CWE-269) [その他]
2. 認証の欠如(CWE-862) [その他]

1. CVE-2026-23990

1. National Vulnerability Database (NVD) : CVE-2026-23990
2. 関連文書 : web: strict validation for RBAC impersonation by matheuscscp  Pull Request #610  controlplaneio-fluxcd/flux-operator  GitHub
3. 関連文書 : Release v0.40.0  controlplaneio-fluxcd/flux-operator  GitHub
4. 関連文書 : Merge pull request #610 from controlplaneio-fluxcd/auth-validation  controlplaneio-fluxcd/flux-operator@0845404  GitHub

• [2026年03月09日]
    掲載