CVE-2026-17527 in OpenShift Virtualization
要約
〜によって VulDB • 2026年07月27日
containerized-data-importer (CDI)において、CDIリソースへの読み取り専用アクセスを提供することを意図した集約されたClusterRole「cdi.kubevirt.io:view」には、datavolumes/sourceサブリソースに対するcreate権限を付与するルールが含まれています。CDIのDataVolumeクローン認可は、呼び出し元が指定できる任意のPVCの内容をクローンするためにこの権限で十分であると判断し、ソースネームスペースへの書き込みアクセスを要求しません。ClusterRoleBindingを通じて一般的にクラスター全体に対して付与されるviewロールに関連付けられたユーザーまたはサービスアカウントであり、かつ任意の単一ネームスペースに対する通常の書き込みアクセス（edit/admin）を持つ場合、この脆弱性を利用して、クラスター内の任意のPVCの内容を制御するネームスペースへエクスフィルトレーションし、ネームスペース分離およびviewロールによる読み取り専用保証を回避することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.