CVE-2026-5483: Red Hat OpenShift AI odh-dashboard: exposição de tokens de service account do Kubernetes
Segundo o registro, o componente odh-dashboard do Red Hat OpenShift AI pode divulgar tokens de Service Account do Kubernetes por meio de um endpoint NodeJS. A NVD atribui nota 9.9 (crítica) e a Red Hat atribui 8.5, e não há exploração confirmada nas fontes consultadas. As faixas afetadas informadas são de 2.16 antes de 2.16.4, de 2.25 antes de 2.25.4, e as versões 3.2 e 3.3.
Visão geral
A Red Hat publicou o CVE-2026-5483 para o componente odh-dashboard do Red Hat OpenShift AI (RHOAI). O registro informa que um endpoint NodeJS nesse componente pode divulgar tokens de Service Account do Kubernetes. A fraqueza é classificada como CWE-201, inserção de informação sensível em dados enviados.
Impacto
- Tokens de service account expostos podem permitir que uma parte não autorizada acesse recursos do Kubernetes com os privilégios dessa conta.
- A NVD atribui nota 9.9 no CVSS, classificada como crítica. A Red Hat atribui 8.5.
- O registro não informa quais recursos do Kubernetes podem ser alcançados. Isso depende dos privilégios concedidos à conta exposta, portanto permanece desconhecido com as informações disponíveis.
Produtos e versões afetados
- Red Hat OpenShift AI de 2.16 antes de 2.16.4.
- Red Hat OpenShift AI de 2.25 antes de 2.25.4.
- Red Hat OpenShift AI nas versões 3.2 e 3.3, sem faixa mais restrita informada no registro.
- O registro lista as linhas de produto 2.16, 2.25, 3.2 e 3.3 sem mais detalhes de versão para cada uma. Não há campo de versão corrigida no registro.
Status de exploração
O registro não inclui o CVE-2026-5483 no catálogo Known Exploited Vulnerabilities da CISA. Os dados SSVC do registro indicam exploração como none e automatizável como no. Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Revise os errata da Red Hat vinculados a este CVE (RHSA-2026:7397, RHSA-2026:7398, RHSA-2026:7403 e RHSA-2026:7404) e aplique aquele que corresponde à sua versão do OpenShift AI. O registro não associa cada errata a uma linha de produto específica.
- Use os limites de versão como referência: as faixas informadas sugerem que 2.16.4 e 2.25.4 são as primeiras versões fora delas, o que é uma inferência a confirmar com o fornecedor.
- Se houver suspeita de exposição, rotacione os tokens das contas de serviço afetadas e revise quais permissões essas contas têm no cluster.
- Restrinja o acesso ao dashboard a redes e usuários confiáveis enquanto a correção estiver em andamento.
Orientação de detecção
- Revise os logs de auditoria do dashboard e do servidor de API em busca de uso inesperado de identidades de service account, especialmente vindas de origens fora dos caminhos administrativos normais.
- Monitore service accounts executando ações que normalmente não executam.
- Confirme que as permissões das service accounts seguem o princípio do menor privilégio, pois isso limita o que um token vazado pode fazer.
Limitações das informações disponíveis
O registro não traz campo de versão corrigida, detalhes do endpoint específico nem informações sobre as permissões dos tokens envolvidos. As notas da NVD e da Red Hat diferem, e o registro não explica a diferença. As fontes consultadas não confirmam exploração.
Perguntas frequentes
O CVE-2026-5483 está sendo explorado ativamente?
O registro não o inclui no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Quais versões do Red Hat OpenShift AI são afetadas?
Segundo o registro, as faixas afetadas são de 2.16 antes de 2.16.4, de 2.25 antes de 2.25.4, e as versões 3.2 e 3.3.
O que os administradores devem fazer primeiro?
Revise os errata da Red Hat vinculados a este CVE, aplique o que corresponde à sua versão e rotacione os tokens das service accounts se houver suspeita de exposição.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.