脆弱性の一覧へ戻る
編集部の見出し：Kubeflow Pipelines：名前空間を省くと権限検査が飛ぶ（9.6）
NVD の情報
Kubeflow Pipelines enables users to build and deploy portable, scalable machine learning workflows. Prior to 2.18.0, the multi-user HTTP endpoints POST /apis/v2beta1/pipelines/upload and POST /apis/v2beta1/pipelines/upload_version call canUploadVersionedPipeline, which returns without SubjectAccessReview when the target namespace is empty while REQUIRE_NAMESPACE_FOR_PIPELINES defaults to false. A low-privilege tenant can create shared pipelines or inject attacker-controlled versions into existing shared pipelines without the required write permission; if the API server is directly reachable without an authenticating proxy, an unauthenticated caller can exploit the same bypass, while deployments protected by such a proxy do not expose anonymous access. An enabled unpinned recurring run that follows the latest version can then execute the injected specification in another tenant's namespace under that workload's service account, while pinned or embedded-specification runs are not automatically substituted. This issue is fixed in version 2.18.0.
- 公開日
- 2026-11-05
- 最終更新（NVD）
- 2026-11-05
- NVD の状態
- Received
- 脆弱性の種類
- CWE-639、CWE-862
深刻度（CVSS）
- 9.6 CriticalCVSS 3.1／副／評価：security-advisories@github.com
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
悪用の状況
CISA KEV には掲載されていません（掲載されていないことは、悪用されていないことの証明ではありません）。
解消方法
- Kubeflow Pipelines のバージョンアップ2.18.0 以降根拠：公告（編集部の転記）
「NVD の条件から推定」は、NVD が影響ありとする版の上限から読み取ったもので、修正版とは限りません。「解消方法の情報なし」は、修正が無いという意味ではありません。必ずベンダーの公告で確認してください。
編集部の記載（レポート掲載時）
レポートの編集部がベンダー公告などから転記した内容です。検証済みの値ではないため、必ず出典で確認してください。
2026-11-06 のレポートKubeflow Pipelines：名前空間を省くと権限検査が飛ぶ（9.6）
2.18.0 で修正。ほか 88980・88981・88984。
悪用状況（編集部）：不明
公告に記載の修正版
- Kubeflow Pipelines 2.18.0公告
参照（NVD）
NVD から取得：2026-11-06T09:45:23.001Z
This product uses the NVD API but is not endorsed or certified by the NVD.
悪用の確認情報は CISA Known Exploited Vulnerabilities Catalog（NVD 経由で取得）によります。EPSS は FIRST（www.first.org/epss）によります。