CVE-2026-63121

ŚrednieCVSS 6.3

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W politykach Kubewarden w wersjach przed 2.1.2 polityka trusted-repos-policy porównuje nazwę hosta rejestru obrazu z listami odrzuconych i dozwolonych w sposób wrażliwy na wielkość liter, mimo że nazwy DNS rejestrów są niewrażliwe na wielkość liter. Obraz z wielkimi lub mieszanymi literami w nazwie hosta rejestru może ominąć regułę odrzucenia dla równoważnego hosta zapisanego małymi literami, co powoduje, że polityka dopuszcza zasób, którego środowisko uruchomieniowe pobiera ten sam zabroniony obraz.

Ocena ryzyka

Obejście listy odrzuconych może pozwolić na wdrożenie zabronionych obrazów kontenerów, co narusza politykę bezpieczeństwa klastra i może wprowadzić niezaufany kod do środowiska.

Rekomendacja

Zaktualizuj polityki Kubewarden do wersji 2.1.2 lub nowszej, która naprawia problem porównywania nazw hostów rejestrów bez uwzględnienia wielkości liter.

Inne podatności w Kubewarden

CVE-2026-42541Średnie
Kubewarden, silnik polityk dla Kubernetes, ma lukę w autoryzacji polityk. Atakujący z uprawnieniami do tworzenia AdmissionPolicy lub AdmissionPolicyGroup może użyć callbacku can_i do wywoływania SubjectAccessReview i wyliczania uprawnień RBAC dowolnego użytkownika lub konta usługi w klastrze, nawet bez odpowiedniego grantu kontekstowego.

Oryginalny opis (angielski, źródło NVD)

Kubewarden policies is a collection of WebAssembly policies for securing and governing Kubernetes clusters. For versions provisionally classified as affected before 2.1.2, `trusted-repos-policy` compares an image's `registry` hostname against `reject lists` and `allow lists` case-sensitively even though `registry` DNS names are case-insensitive. An image with an uppercase or mixed-case `registry` hostname can miss a rejection rule for the equivalent lowercase host, so the admission policy accepts a resource whose container runtime pulls the same prohibited image. Only reject-list configurations have this bypass: allow-list configurations fail closed by over-denying differently cased hostnames. The security consequences depend on the configured rejection policy and deployment environment. This issue is fixed in version 2.1.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS