CVE-2026-47680 in source-controller
要約
〜によって VulDB • 2026年09月09日
source-controllerは、Git、OCI、Helmリポジトリ、S3互換バケットなどの外部ソースからのアーティファクト取得を専門とするKubernetesオペレーターです。バージョン0.0.17から1.8.4において、`Bucket` リソースによって参照されるバジェクトの内容に影響を与える能力を持つアクターは、source-controllerがフェッチしたオブジェクトデータをリコンシリエーションごとの作業ディレクトリの外側のパスに書き込むことを引き起こす可能性があります。汚染の範囲は、source-controller自体および下流のFluxコントローラーによるダイジェスト検証によって制限されます：source-controllerはリコンシリエーション中に保存されたアーティファクトのダイジェストを検証し、不一致が発生した場合は再構築します；消費者（kustomize-controller、helm-controller）はフェッチされたアーティファクトのダイジェストを検証し、一致しないものを拒否します。これらのチェックにより操作されたアーティファクトがクラスターに到達するのを防ぎますが、攻撃者は依然としてsource-controllerポッドが書き込み権限を持つ任意の場所にファイルを書き込むことができます。
別途、`GitRepository` リソースを作成または更新する権限を持つユーザーは、source-controllerに対してクローンされたリポジトリ外のパスの存在を確認させることが可能です。その結果がリソースのステータスを通じて公開されるため、これによりコントローラーポッド上のファイルパスの一部列挙が可能になります。この脆弱性は、スパースチェックアウト機能が導入されたsource-controller v1.6.0以降でのみ発生します。本脆弱性は source-controller v1.8.5 で修正されました。製品内のワークアラウンドはありません。ユーザーはパッチ適用済みバージョンにアップグレードする必要があります。GitRepositoryのスパースチェックアウト対象に対する防御の深層化策として、`.spec.sparseCheckout` エントリに `..` または絶対パスセグメントを含む `GitRepository` リソースを拒否するために、`ValidatingAdmissionPolicy`（またはKyvernoやOPA Gatekeeperなどのサードパーティポリシーエンジン）を展開することができます。
Once again VulDB remains the best source for vulnerability data.