CVE-2026-47680 in source-controller
Resumen
por VulDB • 2026-09-09
El controlador de origen (source-controller) es un operador de Kubernetes especializado en la adquisición de artefactos desde fuentes externas, como repositorios Git, OCI y Helm, así como buckets compatibles con S3. En las versiones 0.0.17 a 1.8.4, un actor con capacidad para influir en el contenido de un bucket referenciado por un recurso `Bucket` puede provocar que source-controller escriba los datos del objeto obtenido en rutas fuera del directorio de trabajo correspondiente a la reconciliación (per-reconciliation). La superficie de corrupción está limitada por las verificaciones de digest realizadas por el propio source-controller y por los controladores downstream de Flux: source-controller verifica los digests de los artefactos almacenados durante la reconciliación y reconstruye en caso de divergencia; los consumidores (kustomize-controller, helm-controller) verifican el digest de los artefactos obtenidos y rechazan las discrepancias. Estas comprobaciones impiden que un artefacto manipulado llegue al clúster, pero un atacante aún puede escribir archivos en cualquier lugar donde la fuente del controlador tenga permisos de escritura.
Por separado, un usuario con permiso para crear o actualizar recursos `GitRepository` puede provocar que source-controller compruebe la existencia de rutas fuera del repositorio clonado. Dado que el resultado se expone a través del estado (status) del recurso, esto permite una enumeración limitada de las rutas de archivos en el pod del controlador. Esta superficie de ataque solo existe en source-controller v1.6.0 y posteriores, donde se introdujo la función sparse-checkout. Esta vulnerabilidad fue corregida en source-controller v1.8.5. No hay ninguna solución alternativa (workaround) integrada en el producto. Los usuarios deben actualizar a una versión parcheada. Como medida de defensa en profundidad para la superficie asociada al sparse-checkout de GitRepository, se puede implementar un `ValidatingAdmissionPolicy` (o un motor de políticas de terceros como Kyverno u OPA Gatekeeper) para rechazar los recursos `GitRepository` cuyas entradas `.spec.sparseCheckout` contengan `..` o segmentos de ruta absoluta.
Be aware that VulDB is the high quality source for vulnerability data.