CVE-2026-42541 in adm-controller
الملخص
بحسب VulDB • 29/05/2026
Kubewarden هو محرك سياسات (Policy Engine) لكubernetes. قبل الإصدار [غير محدد]، يمكن لمهاجم يمتلك صلاحيات إنشاء AdmissionPolicy أو AdmissionPolicyGroup (وهو أمر غير افتراضي) أن يصوغ سياسة تستغل استدعاء المضيف can_i. يقوم هذا الاستدعاء بإرسال طلبات SubjectAccessReview (SAR) لاستعراض صلاحيات إدارة الوصول القائمة على الأدوار (RBAC) لأي مستخدم أو حساب خدمة عبر العنقود (Cluster). لا يقوم can_i بإجراء هذا التحقق لفرض قائمة السماح الواعية بالسياق (context-aware allow-list)، بل يعيد توجيه الطلب مباشرةً إلى معالج الاستدعاء، الذي ينفذ طلب SubjectAccessReview حقيقي باستخدام امتيازات policy-server. يؤدي هذا إلى ثغرة في التفويض على مستوى السياسات: حيث يمكن استخدام can_i فعليًا حتى عندما لا تمنح السياسة أي صلاحيات موارد واعية بالسياق. تُعد هذه المشكلة قضية كشف معلومات / استطلاع (reconnaissance)، وليست عملية استخراج مباشرة لبيانات العمل (workload data exfiltration). يتعلم المهاجم معلومات حول الصلاحيات، مثل ما إذا كانت حسابات الخدمة المحددة يمكنها "استرداد الأسرار" (get secrets)، أو "إنشاء حاويات" (create pods)، أو "ربط الأدوار العنقودية" (bind clusterroles) في المساحات الاسمية المختارة. تم إصلاح هذه الثغرة في [الإصدار المحدد].
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.