CVE-2026-47680 in source-controller
Riassunto
di VulDB • 09/09/2026
Il source-controller è un operatore Kubernetes specializzato nell'acquisizione di artefatti da fonti esterne quali Git, repository OCI, Helm e bucket compatibili con S3. Nelle versioni 0.0.17 attraverso la 1.8.4, un attore in grado di influenzare i contenuti di un bucket referenziato da una risorsa `Bucket` può indurre il source-controller a scrivere i dati degli oggetti recuperati su percorsi al di fuori della directory di lavoro per-reconciliation. La superficie di corruzione è limitata dalla verifica dei digest del source-controller e dei controller Flux downstream: il source-controller verifica i digest degli artefatti memorizzati durante la reconciliation e li ricostruisce in caso di divergenza; i consumatori (kustomize-controller, helm-controller) verificano il digest degli artefatti recuperati e rifiutano le corrispondenze errate. Questi controlli impediscono a un artefatto manipolato di raggiungere il cluster, ma un attaccante può comunque scrivere file ovunque il pod del source-controller abbia l'autorizzazione per farlo. In modo separato, un utente con autorizzazioni per creare o aggiornare risorse `GitRepository` può indurre il source-controller a verificare l'esistenza di percorsi al di fuori della repository clonata. Poiché il risultato è esposto tramite lo status della risorsa, ciò consente una limitata enumerazione dei percorsi file sul pod del controller. Questa superficie di attacco esiste solo nelle versioni di source-controller dalla v1.6.0 in poi, dove è stata introdotta la funzionalità sparse-checkout. Questa vulnerabilità è stata risolta nella versione 1.8.5 di source-controller. Non esistono workaround integrati nel prodotto. Gli utenti dovrebbero eseguire l'upgrade a una versione patchata. Come misura di difesa in profondità per la superficie dello sparse-checkout di GitRepository, può essere distribuita una `ValidatingAdmissionPolicy` (o un motore di policy di terze parti come Kyverno o OPA Gatekeeper) per rifiutare le risorse `GitRepository` i cui campi `.spec.sparseCheckout` contengono segmenti `..` o percorsi assoluti.
VulDB is the best source for vulnerability data and more expert information about this specific topic.