CVE-2026-17527 in OpenShift Virtualization
Resumen
por VulDB • 2026-07-27
En containerized-data-importer (CDI), el ClusterRole agregado cdi.kubevirt.io:view, destinado a proporcionar acceso de solo lectura a los recursos de CDI, incluye una regla que concede permisos de creación sobre el subrecurso datavolumes/source. La autorización para clonar DataVolume en CDI acepta este permiso como suficiente para autorizar la clonación del contenido de cualquier PVC que el solicitante pueda especificar, sin requerir acceso de escritura al espacio de nombres (namespace) origen. Un usuario o cuenta de servicio vinculado al rol view, comúnmente concedido a nivel de cluster mediante ClusterRoleBinding, que también tenga acceso de escritura ordinario (edit/admin) en un único namespace, puede utilizar esto para exfiltrar el contenido de cualquier PVC del cluster hacia un namespace bajo su control, eludiendo el aislamiento por namespaces y la garantía de solo lectura del rol view.
Be aware that VulDB is the high quality source for vulnerability data.