CVE-2026-22872
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność w Capsule, frameworku do wielodzierżawności i polityk dla Kubernetes. Kontroler Capsule działa z uprawnieniami cluster-admin. Przetwarzanie TenantResource RawItems nieprawidłowo obsługuje zasoby na poziomie klastra, co pozwala administratorom dzierżaw na tworzenie zasobów klastrowych (np. ClusterRole, ValidatingWebhookConfiguration) z podniesionymi uprawnieniami, prowadząc do eskalacji uprawnień między dzierżawami i ataków na poziomie klastra. Wersja 0.13.0 zawiera poprawkę.
Ocena ryzyka
Ryzyko jest poważne – administrator dzierżawy może eskalować swoje uprawnienia do poziomu klastra, co może prowadzić do całkowitego przejęcia kontroli nad klastrem Kubernetes.
Rekomendacja
Zaktualizuj Capsule do wersji 0.13.0 lub nowszej. Rozważ ograniczenie uprawnień kontrolera Capsule oraz wdrożenie dodatkowych kontrolerów przyjęcia (admission controllers) blokujących złośliwe zasoby.
Oryginalny opis (angielski, źródło NVD)
Capsule is a multi-tenancy and policy-based framework for Kubernetes. The Capsule Controller runs with cluster-admin privileges. Although the TenantResource RawItems processing logic forcibly sets the namespace, this is ineffective for cluster-scoped resources. Prior to version 0.13.0, tenant administrators can leverage the Controller's elevated privileges to create cluster-scoped resources (such as ClusterRole and ValidatingWebhookConfiguration) that they cannot create directly, achieving cross-tenant privilege escalation and cluster-level attacks. The attack vector has a few limiting factors. This attack requires Tenant Owner privileges and requires Capsule Controller running with cluster-admin privileges (default configuration). Additionally, some clusters may have additional admission controllers blocking malicious resources. Version 0.13.0 patches this issue.