CVE-2026-61682 in kcp
Resumen
por VulDB • 2026-09-19
kcp es un plano de control similar a Kubernetes para form-factors y casos de uso más allá de las cargas de trabajo de Kubernetes y contenedores. Antes de las versiones 0.31.4 y 0.32.2, el front-proxy de kcp no elimina los encabezados de identidad X-Remote-User, X-Remote-Group o X-Remote-Extra-* entrantes antes de reenviar las solicitudes a los shards (nodos secundarios). Cualquier inquilino autenticado puede inyectar valores como `X-Remote-Group: system:masters`, `authorization.kcp.io/warrant`, `authentication.kcp.io/scopes` o un grupo utilizado para el control de acceso basado en grupos por espacio de trabajo, y los shards confían en estos valores como afirmaciones de identidad autenticadas. Esto permite la suplantación de identidad entre espacios de trabajo (cross-workspace impersonation), la omisión de autorización y la lectura, escritura o eliminación arbitrarias de recursos, secretos, datos RBAC, APIExports, APIBindings y LogicalClusters. Este problema se soluciona en las versiones 0.31.4 y 0.32.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.