CVE-2026-22806: vCluster Platform: contorno de escopo em chaves de acesso com escopo limitado
A CVE-2026-22806 afeta a vCluster Platform e permite que uma chave de acesso com escopo limitado alcance recursos fora do escopo definido, classificada como Autorização Incorreta (CWE-863). A descrição informa que o acesso continua restrito ao que o proprietário da chave pode alcançar e indica as versões corrigidas de cada ramo mantido. A atualização é a principal medida de correção, enquanto revisões de escopo e usuários de automação com permissões limitadas são medidas provisórias.
Visão geral
A CVE-2026-22806 é uma falha na vCluster Platform, uma plataforma Kubernetes para gerenciar clusters virtuais, multi-tenancy e compartilhamento de clusters. Segundo a descrição, uma chave de acesso criada com escopo limitado pode ser usada para alcançar recursos fora desse escopo. O registro classifica a fraqueza como Autorização Incorreta (CWE-863). O aviso publicado no GitHub é a principal fonte citada.
Impacto
- O efeito descrito é o contorno da restrição de escopo de chaves de acesso.
- A descrição afirma que o usuário ainda não consegue acessar recursos além do que o proprietário da chave pode acessar, de modo que o contorno se limita às permissões efetivas do proprietário.
- O vetor CVSS 3.1 do registro indica alcance pela rede, baixa complexidade, privilégios altos exigidos, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade. A pontuação geral é 9,1, classificada como crítica nos dados do registro.
Produtos e versões afetados
- O produto é a vCluster Platform.
- A descrição indica como afetadas as versões anteriores a 4.6.0, 4.5.4, 4.4.2 e 4.3.10, e cita 4.6.0, 4.5.4, 4.4.2 e 4.3.10 como versões corrigidas.
- Os campos estruturados de afetados e correções no registro estão vazios, por isso os limites inferiores exatos de cada faixa afetada são desconhecidos com os dados disponíveis.
Status de exploração
- O registro mostra que esta CVE não está listada no catálogo Known Exploited Vulnerabilities da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- Não há pontuação EPSS no registro.
Correção e mitigação
- Atualize para 4.6.0, 4.5.4, 4.4.2 ou 4.3.10, conforme o ramo de versão em uso, pois a descrição afirma que essas versões corrigem a vulnerabilidade.
- Quando a atualização imediata não for possível, revise as chaves de acesso com escopo e confirme que todos os usuários com acesso a elas possuem permissões adequadas.
- Como solução temporária, nos casos em que chaves com escopo ainda sejam necessárias, crie usuários de automação com permissões muito limitadas e use chaves de acesso emitidas para esses usuários.
- Aplique o princípio do menor privilégio a todas as chaves de acesso e faça a rotação das que não forem mais necessárias.
Orientações de detecção
- Revise os logs de auditoria e de acesso da plataforma em busca de atividade de chaves de acesso que toque namespaces, clusters ou recursos fora do escopo atribuído à chave.
- Compare o escopo registrado de cada chave de acesso com os recursos que ela efetivamente acessou no período analisado.
- Faça um inventário de quais chaves de acesso têm escopo e a quais contas de automação pertencem, para priorizar as revisões.
Limitações das informações disponíveis
- O registro não inclui uma faixa de versões afetadas nem uma lista de versões corrigidas em formato estruturado, portanto a descrição é a única fonte para informações de versão.
- A descrição não explica o mecanismo técnico do contorno, e esta análise não acrescenta essa explicação.
- Não é possível determinar, a partir do registro, se algum ambiente foi afetado.
- O registro tem status de fonte Deferred, e não há detalhes adicionais além do aviso do GitHub e da entrada na NVD citados.
Perguntas frequentes
O que a CVE-2026-22806 permite?
Segundo a descrição, uma chave de acesso criada com escopo limitado pode ser usada para alcançar recursos fora desse escopo na vCluster Platform. A descrição também afirma que o usuário continua sem acesso além do que o proprietário da chave pode acessar.
Quais versões são corrigidas?
A descrição cita 4.6.0, 4.5.4, 4.4.2 e 4.3.10 como versões que corrigem a vulnerabilidade. As versões anteriores a essas são descritas como afetadas.
Existe solução provisória se a atualização não for possível de imediato?
A descrição sugere revisar as chaves de acesso com escopo e as permissões de seus usuários. Também menciona a criação de usuários de automação com permissões muito limitadas e o uso de chaves de acesso emitidas para eles como solução temporária.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.