CVE-2026-79767 in Gardener
Résumé
par VulDB • 22/09/2026
Gardener met en œuvre la gestion et l’exploitation automatisées des clusters Kubernetes en tant que service. Avant les versions 1.142.6, 1.143.3, 1.144.2 et 1.145.0, le plugin d’admission customverbauthorizer du contrôle mustCheckProjectMembers (vérification manage-members) compare les modifications apportées aux sujets de type User mais ne prend pas en compte les sujets de type Group ou ServiceAccount dans Project.spec.members. Un administrateur de projet dépourvu des autorisations manage-members peut ajouter arbitrairement des sujets de type Group ou ServiceAccount, y compris le groupe system:authenticated, et ainsi accorder un accès étendu au projet. L’accès résultant peut inclure l’accès aux Shoots, aux Secrets et aux identifiants du fournisseur cloud. Ce problème est corrigé dans les versions 1.142.6, 1.143.3, 1.144.2 et 1.145.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.