CVE-2026-97146: Apache YuniKorn permite contornar controle de admissão por rótulo falsificado

Fonte: aviso publicado em 7 de outubro de 2026 no feed oss-sec, com tradução automática do conteúdo original e autoria atribuída a Wilfred Spiegelenburg na própria fonte. Identificador: CVE-2026-97146. Produto: Apache YuniKorn, agendador de recursos usado em clusters Kubernetes. Versões afetadas: anteriores à 1.10.0, incluindo a 1.9.0 e as anteriores. Severidade: CVSS 4.0 nota 4.8, classificada como média, com vetor que indica acesso pela rede, privilégio alto exigido, interação do usuário necessária, sem impacto de confidencialidade ou disponibilidade e impacto baixo de integridade. Descrição: ao definir um rótulo secundário específico no pod, verificações que limitam o conteúdo da anotação do usuário deixam de ser executadas. Quando o pod tem o rótulo 'app=yunikorn', essas verificações são puladas. O trecho disponível é truncado na explicação de como o rótulo identifica o componente, então os detalhes completos devem ser lidos no original. Relevância: quem opera YuniKorn deve atualizar para a 1.10.0 ou posterior e revisar quem pode criar pods com rótulos e anotações. Limite: a Rota Nacional não executa esse agendador e não corrige a falha, pois o aviso trata de infraestrutura de terceiros.