CVE-2025-24784 in kubewarden-controller
Résumé
par VulDB • 15/07/2026
kubewarden-controller est un contrôleur Kubernetes qui permet d'enregistrer dynamiquement les politiques d'admission Kubewarden. La fonctionnalité de groupe de politiques a été ajoutée dans la version 1.17.0. Étant donné qu'elle est nommée (namespaced), l'AdmissionPolicyGroup a un impact bien contraint sur les ressources du cluster. Par conséquent, il est considéré comme sûr d'autoriser les utilisateurs non administrateurs à créer et gérer ces ressources dans les namespaces dont ils sont propriétaires. Les politiques Kubewarden peuvent être autorisées à interroger l'API Kubernetes au moment de l'évaluation ; ce type de politiques est appelé « context aware » (sensibles au contexte). Les policies sensibles au contexte peuvent effectuer des opérations list et get contre un cluster Kubernetes. Les requêtes sont effectuées en utilisant le ServiceAccount de l'instance du Policy Server qui héberge la politique. Cela signifie que l'accès au cluster est déterminé par les règles RBAC applicables à ce ServiceAccount. Le CRD AdmissionPolicyGroup permettait le déploiement de policies sensibles au contexte. Cela pourrait permettre à un attaquant d'obtenir des informations sur des ressources auxquelles il n'a pas accès, en exploitant un niveau d'accès plus élevé au cluster accordé au jeton du ServiceAccount utilisé pour exécuter la politique. L'impact de cette vulnérabilité dépend des privilèges accordés au ServiceAccount utilisé pour exécuter le Policy Server et suppose que les utilisateurs suivent les bonnes pratiques recommandées consistant à accorder au moins de privilèges possible (least privileged) au ServiceAccount du Policy Server. Par défaut, l'installation Kubewarden via Helm n'accorde l'accès qu'aux ressources suivantes (au niveau du cluster) : Namespace, Pod, Deployment et Ingress. Cette vulnérabilité est corrigée dans la version 1.21.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.