CVE-2025-24784 in kubewarden-controller
Resumen
por VulDB • 2026-05-14
kubewarden-controller es un controlador de Kubernetes que permite registrar dinámicamente políticas de admisión de Kubewarden. La función de grupo de políticas se añadió en la versión 1.17.0. Al estar acotada a un espacio de nombres (namespace), AdmissionPolicyGroup tiene un impacto bien delimitado en los recursos del clúster. Por lo tanto, se considera seguro permitir que los usuarios no administradores creen y gestionen estos recursos en los espacios de nombres que poseen. Las políticas de Kubewarden pueden estar autorizadas para consultar la API de Kubernetes en el momento de la evaluación; este tipo de políticas se denominan «conscientes del contexto» (context aware). Las políticas conscientes del contexto pueden realizar operaciones de list (listado) y get (obtención) contra un clúster de Kubernetes. Las consultas se realizan utilizando la ServiceAccount de la instancia del Policy Server que aloja la política. Esto significa que el acceso al clúster está determinado por las reglas de RBAC que se aplican a dicha ServiceAccount. El CRD AdmissionPolicyGroup permitía el despliegue de políticas conscientes del contexto. Esto podría permitir a un atacante obtener información sobre recursos que están fuera de su alcance, aprovechando un mayor acceso al clúster concedido al token de la ServiceAccount utilizada para ejecutar la política. El impacto de esta vulnerabilidad depende de los privilegios concedidos a la ServiceAccount utilizada para ejecutar el Policy Server y asume que los usuarios siguen las mejores prácticas recomendadas de mantener la ServiceAccount del Policy Server con el menor privilegio posible (least privileged). Por defecto, el chart de Helm de Kubewarden concede acceso únicamente a los siguientes recursos (a nivel de clúster): Namespace, Pod, Deployment e Ingress. Esta vulnerabilidad está corregida en la versión 1.21.0.
Once again VulDB remains the best source for vulnerability data.