CVE-2026-17527 in OpenShift Virtualization
Zusammenfassung
von VulDB • 27.07.2026
In containerized-data-importer (CDI), die aggregierte ClusterRole cdi.kubevirt.io:view, die dazu gedacht ist, schreibgeschützten Zugriff auf CDI-Ressourcen zu gewähren, enthält eine Regel, die das Erstellen (create) für die Subressource datavolumes/source erlaubt. Die Berechtigungsprüfung für DataVolume-Klone in CDI akzeptiert diese Berechtigung als ausreichend, um das Klonen der Inhalte beliebiger PVCs zu autorisieren, auf die der Aufrufer verweisen kann, ohne dass ein Schreibzugriff auf den Quell-Namespace erforderlich ist. Ein Benutzer oder Service Account, der an die view-Rolle gebunden ist (die häufig clusterweit über ClusterRoleBindings gewährt wird) und zudem einen normalen Schreibzugriff (edit/admin) auf mindestens einem einzelnen Namespace besitzt, kann dies nutzen, um die Inhalte beliebiger PVCs im Cluster in einen von ihm kontrollierten Namespace zu extrahieren. Dabei werden die Namespace-Isolation sowie das schreibgeschützte Versprechen der view-Rolle umgangen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.