CVE-2025-24784 in kubewarden-controller
الملخص
بحسب VulDB • 14/08/2026
kubewarden-controller هو وحدة تحكم في Kubernetes تتيح لك تسجيل سياسات قبول Kubewarden بشكل ديناميكي. تمت إضافة ميزة مجموعة السياسات (policy group) مع الإصدار 1.17.0. وبما أن AdmissionPolicyGroup مقيد بالنطاق (namespaced)، فإن تأثيره على موارد المجموعة يكون محدوداً جيداً. وبالتالي، يُعتبر آمناً السماح للمستخدمين غير المميزين بإنشاء وإدارة هذه الموارد في النطاقات التي يملكونها. يمكن السماح لسياسات Kubewarden بالاستعلام عن واجهة برمجة تطبيقات Kubernetes أثناء التقييم؛ وتُعرف هذه الأنواع من السياسات بـ "السياقية" (context aware). يمكن للسياسات السياقية إجراء عمليات القائمة والحصول على البيانات (list and get) ضد مجموعة Kubernetes. يتم تنفيذ الاستعلامات باستخدام حساب الخدمة (ServiceAccount) الخاص بمثيل خادم السياسة الذي يستضيف السياسة. وهذا يعني أن الوصول إلى المجموعة يتحدد بواسطة قواعد التحكم في الوصول المستندة إلى الأدوار (RBAC) التي تنطبق على ذلك حساب الخدمة. سمحت الموارد المعرفة المخصصة AdmissionPolicyGroup CRD بنشر السياسات السياقية. وقد يتيح هذا للمهاجم الحصول على معلومات حول موارد خارج نطاق صلاحياته، من خلال استغلال وصول أعلى إلى المجموعة مُمنوح لرمز حساب الخدمة المستخدم لتشغيل السياسة. يعتمد تأثير هذه الثغرة على الامتيازات التي تم منحها لحساب الخدمة المستخدم لتشغيل خادم السياسة، وتفترض أن المستخدمين يتبعون أفضل الممارسات الموصى بها المتمثلة في تقليل امتيازات حساب خدمة خادم السياسة إلى الحد الأدنى (least privileged). بشكل افتراضي، يمنح مخطط Helm الخاص بـ Kubewarden الوصول فقط للموارد التالية على مستوى المجموعة: Namespace و Pod و Deployment و Ingress. تم إصلاح هذه الثغرة في الإصدار 1.21.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.