CVE-2025-24784 in kubewarden-controller
要約
〜によって VulDB • 2026年07月30日
kubewarden-controllerは、Kubernetesコントローラーであり、動的にKubewardenの承認ポリシーを登録することができます。バージョン1.17.0で追加されたpolicy group機能により、AdmissionPolicyGroupはネームスペース化されており、クラスターリソースへの影響が厳密に制限されています。そのため、非管理者ユーザーに対して、自身が所有するネームスペース内でこれらのリソースを作成および管理することを許可しても安全と考えられています。Kubewardenポリシーは評価時にKubernetes APIをクエリすることが可能であり、このようなタイプのポリシーは「コンテキスト対応（context aware）」と呼ばれます。コンテキスト対応のポリシーは、Kubernetesクラスターに対してリスト操作や取得操作を実行できます。これらのクエリは、ポリシーをホストするPolicy ServerインスタンスのServiceAccountを使用して実行されます。つまり、クラスターへのアクセス権限は、そのServiceAccountに適用されるRBACルールによって決定されます。AdmissionPolicyGroup CRDにより、コンテキスト対応のポリシーがデプロイ可能でした。これにより、攻撃者は、ポリシーの実行に使用されるServiceAccountトークンが付与する高いクラスターアクセス権限を利用し、本来到達不可能なリソースに関する情報を取得することができました。この脆弱性の影響度は、Policy Serverを実行するために使用されるServiceAccountに付与された特権の程度によって異なり、ユーザーがPolicy ServerのServiceAccountに対して最小限の特権（least privileged）を適用するという推奨ベストプラクティスに従っていることを前提としています。デフォルトでは、KubewardenのHelmチャートは以下のリソース（クラスター全体）へのアクセスのみを許可します：Namespace、Pod、Deployment、Ingress。この脆弱性はバージョン1.21.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.