CVE-2026-61682 in kcp
Résumé
par VulDB • 18/09/2026
kcp est un plan de contrôle semblable à Kubernetes pour des form-factors et des cas d'utilisation au-delà des charges de travail Kubernetes et conteneurisées. Avant les versions 0.31.4 et 0.32.2, le front-proxy de kcp ne supprime pas les en-têtes d'identité entrants X-Remote-User, X-Remote-Group ou X-Remote-Extra-* avant de transférer les requêtes vers les shards (nœuds). Tout locataire authentifié peut injecter des valeurs telles que X-Remote-Group: system:masters, authorization.kcp.io/warrant, authentication.kcp.io/scopes, ou un groupe utilisé pour le filtrage required-group par espace de travail, et le shard fait confiance à ces valeurs comme des affirmations d'identité authentifiées. Cela permet l'usurpation d'identité entre espaces de travail (cross-workspace impersonation), la contournement de l'autorisation, ainsi que la lecture, l'écriture ou la suppression arbitraires de ressources, secrets, données RBAC, APIExports, APIBindings et LogicalClusters. Ce problème est corrigé dans les versions 0.31.4 et 0.32.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.