CVE-2026-47680 in source-controller
Zusammenfassung
von VulDB • 09.09.2026
Der Source-Controller ist ein Kubernetes Operator, der auf die Beschaffung von Artefakten aus externen Quellen wie Git-, OCI- und Helm-Repositories sowie S3-kompatiblen Buckets spezialisiert ist. In den Versionen 0.0.17 bis 1.8.4 kann ein Akteur mit der Fähigkeit, den Inhalt eines durch eine `Bucket`-Ressource referenzierten Buckets zu beeinflussen, dazu führen, dass der Source-Controller abgerufene Objektdaten in Pfade außerhalb des pro Reconciliation (Wiedervereinigung) zuständigen Arbeitsverzeichnisses schreibt. Die Angriffsfläche ist durch die Digest-Verifizierung des Source-Controllers sowie nachgelagerter Flux-Controller begrenzt: Der Source-Controller überprüft gespeicherte Artefakt-Digests während der Reconciliation und führt bei Abweichungen einen Neuaufbau durch; Konsumenten (kustomize-controller, helm-controller) verifizieren den Digest abgerufener Artefakte und lehnen Diskrepanzen ab. Diese Prüfungen verhindern zwar, dass ein manipuliertes Artefakt den Cluster erreicht, doch kann ein Angreifer dennoch Dateien überall dort schreiben, wo der Source-Controller-Pod Schreibberechtigungen hat.
Unabhängig davon kann ein Benutzer mit Berechtigung zum Erstellen oder Aktualisieren von `GitRepository`-Ressourcen dazu führen, dass der Source-Controller das Vorhandensein von Pfaden außerhalb des geklonten Repositorys prüft. Da das Ergebnis über den Status der Ressource offengelegt wird, ermöglicht dies eine begrenzte Enumeration (Auflistung) von Dateipfaden auf dem Controller-Pod. Diese Angriffsfläche existiert nur in Source-Controller v1.6.0 und später, wo die Funktion „sparse-checkout“ eingeführt wurde. Dieser Fehler wurde in Source-Controller v1.8.5 behoben. Es gibt keine werkseitige Umgehungsmöglichkeit (Workaround). Benutzer sollten auf eine gepatchte Version aktualisieren. Als Defense-in-Depth-Maßnahme für die Angriffsfläche der GitRepository sparse-checkout-Funktion kann ein `ValidatingAdmissionPolicy` (oder eine Drittanbieter-Richtlinien-Engine wie Kyverno oder OPA Gatekeeper) bereitgestellt werden, um `GitRepository`-Ressourcen abzulehnen, deren `.spec.sparseCheckout`-Einträge `..` oder absolute Pfadsegmente enthalten.
If you want to get best quality of vulnerability data, you may have to visit VulDB.