CVE-2026-65835
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Capsule od 0.13.0 do 0.13.8 (po niepełnej łatce CVE-2026-22872) nie stosował zabezpieczeń przed tworzeniem zasobów klastrowych przez Tenant Owner. Tenant Owner mógł tworzyć zasoby takie jak ClusterRole lub ValidatingWebhookConfiguration poprzez klienta kontrolera cluster-admin.
Ocena ryzyka
Tenant Owner może eskalować uprawnienia i wpływać na cały klaster Kubernetes, co narusza model multi-tenancy i może prowadzić do przejęcia klastra.
Rekomendacja
Zaktualizuj Capsule do wersji 0.13.8 lub nowszej.
Inne podatności w Capsule
Zobacz wszystkie- CVE-2026-22872Krytyczne
Podatność w Capsule, frameworku do wielodzierżawności i polityk dla Kubernetes. Kontroler Capsule działa z uprawnieniami cluster-admin. Przetwarzanie TenantResource RawItems nieprawidłowo obsługuje zasoby na poziomie klastra, co pozwala administratorom dzierżaw na tworzenie zasobów klastrowych (np. ClusterRole, ValidatingWebhookConfiguration) z podniesionymi uprawnieniami, prowadząc do eskalacji uprawnień między dzierżawami i ataków na poziomie klastra. Wersja 0.13.0 zawiera poprawkę.
- CVE-2026-65834Średnie
Capsule przed 0.13.8 nie walidował wyrażeń regularnych w konfiguracji CapsuleConfiguration dla ForbiddenLabels i ForbiddenAnnotations. Administrator klastra mógł przechowywać nieprawidłowe regex, które powodowały awarię webhooka węzła przy tworzeniu, aktualizacji lub łataniu węzła.
- CVE-2026-30963Niskie
W frameworku Capsule dla Kubernetes przed wersją 0.13.0 wykryto podatność umożliwiającą przejęcie przestrzeni nazw (namespace hijacking) poprzez operacje na subresources namespace/finalize i namespace/status. Webhook walidujący nie definiuje reguł przechwytywania dla tych subresources, co pozwala administratorowi dzierżawcy na modyfikację metadanych przestrzeni nazw.
Oryginalny opis (angielski, źródło NVD)
Capsule is a multi-tenancy and policy-based framework for Kubernetes. From 0.13.0 until 0.13.8, after the incomplete CVE-2026-22872 fix, TenantResource RawItems and Generators in internal/controllers/resources/collect.go, including handleRawItem and handleGeneratorItem, did not apply the ResourceReference.LoadResources and IsNamespacedGVK cluster-scoped resource rejection guard used by NamespacedItems, allowing a Tenant Owner to create cluster-scoped resources such as ClusterRole or ValidatingWebhookConfiguration through the cluster-admin controller client. This issue is fixed in version 0.13.8.