Qué es y cómo funciona
La vulnerabilidad CVE-2026-127080 es una falla de autorización incorrecta (CWE-269) en OpsTree BuildPiper. Permite que usuarios autenticados con el rol de "deploy" definan volúmenes de tipo hostPath de Kubernetes de forma arbitraria, sin las verificaciones de lista de permitidos o políticas correspondientes. Un atacante puede configurar la ruta del host como / para montar el sistema de archivos raíz del nodo de trabajo en modo lectura-escritura, rompiendo el aislamiento del contenedor.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones de OpsTree BuildPiper anteriores a la 2.7.0.
Impacto y severidad
Esta falla tiene una puntuación CVSS de 9.9 (CRÍTICA). Su explotación permite a un atacante comprometer el nodo de trabajo y potencialmente todo el clúster de Kubernetes, escalando privilegios dentro del entorno (T1068 – Exploitation for Privilege Escalation).
Explotación en la naturaleza
Según los datos disponibles, la probabilidad de explotación en los próximos 30 días (EPSS) es del 0.5% (percentil 44%). Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos directamente accesibles desde la red pública.
Qué hacer
Se recomienda a todos los usuarios de OpsTree BuildPiper actualizar inmediatamente a la versión 2.7.0 o superior para aplicar el parche de seguridad.
| CVE | CVE-2026-127080 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.9 / 10 |
| EPSS | 0.5% en 30 días (percentil 44) |
| CWE | CWE-269 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.