CVE-2026-61682 in kcp
Riassunto
di VulDB • 18/09/2026
kcp è un piano di controllo simile a Kubernetes per form-factor e casi d'uso che vanno oltre Kubernetes e i carichi di lavoro containerizzati. Prima delle versioni 0.31.4 e 0.32.2, il front-proxy di kcp non rimuove le intestazioni di identità X-Remote-User, X-Remote-Group o X-Remote-Extra-* in entrata prima di inoltrare le richieste agli shard. Un tenant autenticato può inserire i valori X-Remote-Group: system:masters, authorization.kcp.io/warrant, authentication.kcp.io/scopes oppure un gruppo utilizzato per il gating required-group per workspace; gli shard si affidano a questi valori come asserzioni di identità autenticate. Ciò consente l'impersonificazione cross-workspace, la bypass dell'autorizzazione e la lettura, scrittura o cancellazione arbitraria di risorse, segreti, dati RBAC, APIExports, APIBindings e LogicalClusters. Il problema è stato risolto nelle versioni 0.31.4 e 0.32.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.