Qué es y cómo funciona
La vulnerabilidad CVE-2026-127073 en OpsTree BuildPiper permite a usuarios con permisos de proyecto escalar privilegios hasta obtener derechos de cluster-admin en Kubernetes. Esto se logra explotando la funcionalidad Additional Manifest para enviar manifiestos no restringidos, donde un atacante puede desplegar un ClusterRoleBinding que vincula una cuenta de servicio al rol cluster-admin. El pipeline aplica estos cambios con credenciales de alcance cluster-wide, otorgando control total sobre todas las cargas de trabajo y secretos.
Productos y versiones afectadas
OpsTree BuildPiper en versiones anteriores a la 2.7.0.
Impacto y probabilidad de explotación
Con un CVSS de 9.9 (crítico), esta falla permite a atacantes tomar control completo de clusters Kubernetes. Según EPSS, existe un 0.5% de probabilidad de explotación real en los próximos 30 días (percentil 44%). Shodan no reporta hosts expuestos en internet actualmente, lo que reduce el riesgo inmediato pero no lo elimina. La técnica MITRE ATT&CK asociada es T1068 – Exploitation for Privilege Escalation.
Qué hacer
Actualizar inmediatamente a la versión 2.7.0 o superior de OpsTree BuildPiper para mitigar la vulnerabilidad.
| CVE | CVE-2026-127073 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.9 / 10 |
| EPSS | 0.5% en 30 días (percentil 44) |
| CWE | CWE-269 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.