CVE-2025-55205
KrytyczneStreszczenie
Podatność w Capsule v0.10.3 i wcześniejszych pozwala uwierzytelnionym użytkownikom na injectowanie dowolnych etykiet do systemowych przestrzeni nazw (kube-system, default, capsule-system), co narusza izolację wielo-tenantową. To umożliwia eskalację uprawnień i łamie podstawowe granice bezpieczeństwa, które Capsule ma na celu egzekwować.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do zasobów między tenantami, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych. Eskalacja uprawnień może umożliwić atakującym przejęcie kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację Capsule do wersji 0.10.4 lub nowszej, aby usunąć tę podatność. Należy również przeprowadzić audyt uprawnień użytkowników i monitorować dostęp do systemowych przestrzeni nazw.
Oryginalny opis (angielski, źródło NVD)
Capsule is a multi-tenancy and policy-based framework for Kubernetes. A namespace label injection vulnerability in Capsule v0.10.3 and earlier allows authenticated tenant users to inject arbitrary labels into system namespaces (kube-system, default, capsule-system), bypassing multi-tenant isolation and potentially accessing cross-tenant resources through TenantResource selectors. This vulnerability enables privilege escalation and violates the fundamental security boundaries that Capsule is designed to enforce. This vulnerability is fixed in 0.10.4.