A flaw was found in OpenShift Container Platform. Completed pods with restartPolicy: Never do not count toward ResourceQuota pod limits, and Kubernetes events are not quota-scoped. A non-privileged user who can create pods in a namespace can exploit this to generate a large volume of events that accumulate in etcd, causing API server performance degradation across the cluster.
CVE-2026-10533 is a resource exhaustion vulnerability in OpenShift Container Platform where non-privileged users can bypass ResourceQuota limits by creating pods with restartPolicy: Never and generating excessive Kubernetes events. This causes etcd accumulation and API server performance degradation, impacting cluster-wide availability. While CVSS is medium (5.0), the attack requires minimal privileges and no exploit is currently available, making it a moderate threat requiring prompt mitigation.
Immediate Actions:
1. Implement RBAC restrictions to limit pod creation capabilities to trusted users only
2. Enable ResourceQuota enforcement on all namespaces, including event quotas
3. Monitor etcd size and API server latency metrics for anomalies
4. Review audit logs for suspicious pod creation patterns with restartPolicy: Never
Compensating Controls:
1. Deploy admission controllers (ValidatingWebhookConfiguration) to reject pods with restartPolicy: Never from non-privileged users
2. Implement event retention policies and cleanup jobs to prevent etcd bloat
3. Configure etcd compaction and defragmentation schedules
4. Set up alerts for API server response time degradation (>500ms p95)
5. Use network policies to restrict inter-pod communication
Detection Rules:
1. Alert on pod creation rate >100 pods/minute per namespace
2. Monitor etcd size growth >1GB/hour
3. Track API server request latency spikes correlated with event creation
4. Flag users creating multiple pods with restartPolicy: Never in short timeframes
الإجراءات الفورية:
1. تطبيق قيود RBAC لتحديد قدرات إنشاء pods للمستخدمين الموثوقين فقط
2. تفعيل فرض ResourceQuota على جميع الفضاءات، بما في ذلك حصص الأحداث
3. مراقبة حجم etcd وقياس زمن استجابة خادم API للشذوذ
4. مراجعة سجلات التدقيق للأنماط المريبة لإنشاء pods مع restartPolicy: Never
الضوابط التعويضية:
1. نشر وحدات التحكم في القبول (ValidatingWebhookConfiguration) لرفض pods مع restartPolicy: Never من المستخدمين غير المميزين
2. تطبيق سياسات الاحتفاظ بالأحداث ومهام التنظيف لمنع تراكم etcd
3. تكوين جداول ضغط وإلغاء تجزئة etcd
4. إعداد تنبيهات لتدهور وقت استجابة خادم API (>500ms p95)
5. استخدام سياسات الشبكة لتقييد الاتصالات بين pods
قواعد الكشف:
1. تنبيه على معدل إنشاء pods >100 pods/دقيقة لكل فضاء
2. مراقبة نمو حجم etcd >1GB/ساعة
3. تتبع ارتفاعات زمن استجابة خادم API المرتبطة بإنشاء الأحداث
4. وضع علامة على المستخدمين الذين ينشئون عدة pods مع restartPolicy: Never في فترات زمنية قصيرة