CVE-2026-65834
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Capsule przed 0.13.8 nie walidował wyrażeń regularnych w konfiguracji CapsuleConfiguration dla ForbiddenLabels i ForbiddenAnnotations. Administrator klastra mógł przechowywać nieprawidłowe regex, które powodowały awarię webhooka węzła przy tworzeniu, aktualizacji lub łataniu węzła.
Ocena ryzyka
Nieprawidłowe regex może spowodować awarię webhooka węzła, uniemożliwiając zarządzanie węzłami w klastrze, co prowadzi do przerw w działaniu.
Rekomendacja
Zaktualizuj Capsule do wersji 0.13.8 lub nowszej.
Inne podatności w Capsule
Zobacz wszystkie- CVE-2026-22872Krytyczne
Podatność w Capsule, frameworku do wielodzierżawności i polityk dla Kubernetes. Kontroler Capsule działa z uprawnieniami cluster-admin. Przetwarzanie TenantResource RawItems nieprawidłowo obsługuje zasoby na poziomie klastra, co pozwala administratorom dzierżaw na tworzenie zasobów klastrowych (np. ClusterRole, ValidatingWebhookConfiguration) z podniesionymi uprawnieniami, prowadząc do eskalacji uprawnień między dzierżawami i ataków na poziomie klastra. Wersja 0.13.0 zawiera poprawkę.
- CVE-2026-65835Średnie
Capsule od 0.13.0 do 0.13.8 (po niepełnej łatce CVE-2026-22872) nie stosował zabezpieczeń przed tworzeniem zasobów klastrowych przez Tenant Owner. Tenant Owner mógł tworzyć zasoby takie jak ClusterRole lub ValidatingWebhookConfiguration poprzez klienta kontrolera cluster-admin.
- CVE-2026-30963Niskie
W frameworku Capsule dla Kubernetes przed wersją 0.13.0 wykryto podatność umożliwiającą przejęcie przestrzeni nazw (namespace hijacking) poprzez operacje na subresources namespace/finalize i namespace/status. Webhook walidujący nie definiuje reguł przechwytywania dla tych subresources, co pozwala administratorowi dzierżawcy na modyfikację metadanych przestrzeni nazw.
Oryginalny opis (angielski, źródło NVD)
Capsule is a multi-tenancy and policy-based framework for Kubernetes. Prior to 0.13.8, CapsuleConfiguration.Spec.NodeMetadata.ForbiddenLabels.Regex and CapsuleConfiguration.Spec.NodeMetadata.ForbiddenAnnotations.Regex were not validated by the configuration admission webhook, allowing a Cluster Admin to store a malformed regex that later reached regexp.MustCompile in pkg/api/forbidden_list.go through internal/webhook/node/user_metadata.go and crashed the node admission webhook on Node create, update, or patch requests. This issue is fixed in version 0.13.8.