ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يتيح Kubeflow Pipelines للمستخدمين إنشاء ون نشر مسارات عمل تعلم آلي قابلة للنقل والتوسع. قبل الإصدار 2.18.0، تقوم نقاط نهاية HTTP متعددة المستخدمين POST /apis/v2beta1/pipelines/upload و POST /apis/v2beta1/pipelines/upload_version باستدعاء canUploadVersionedPipeline، والتي تعود دون إجراء SubjectAccessReview عندما تكون مساحة الأسماء المستهدفة فارغة بينما تكون قيمة REQUIRE_NAMESPACE_FOR_PIPELINES الافتراضية false. يمكن لمستأجر منخفض الصلاحيات إنشاء خطوط مشتركة أو حقن إصدارات يسيطر عليها المهاجم في خطوط مشتركة موجودة دون إذن الكتابة المطلوب؛ وإذا كان خادم واجهة برمجة التطبيقات قابلًا للوصول مباشرة دون وكيل مصادقة، فيمكن لمهاجم دون مصادقة استغلال نفس الثغرة، بينما لا تعرض عمليات النشر المحمية بمثل هذا الوكيل الوصول المجهول. يمكن بعد ذلك لتشغيل متكرر غير مثبت ومفعل يتبع أحدث إصدار تنفيذ المواصفات المحقونة في مساحة أسماء مستأجر آخر تحت حساب خدمة عبء العمل هذا، بينما لا يتم استبدال عمليات التشغيل المثبتة أو ذات المواصفات المضمنة تلقائيًا. تم إصلاح هذه المشكلة في الإصدار 2.18.0.