CVE-2026-61682 in kcp
要約
〜によって VulDB • 2026年09月18日
kcpは、Kubernetesやコンテナワークロードを超えたフォームファクタおよびユースケース向けの、Kubernetesライクなコントロールプレーンです。バージョン0.31.4 および 0.32.2 より前では、kcpのフロントプロキシはシャードへのリクエスト転送前に、X-Remote-User、X-Remote-Group、または X-Remote-Extra-* のようなインバウンドIDヘッダーを削除しません。認証済みテナントであれば誰でも、X-Remote-Group: system:masters、authorization.kcp.io/warrant、authentication.kcp.io/scopes、あるいはワークスペースごとの required-group ギーティングに使用されるグループなどを注入でき、シャードはこれらの値を認証済みのID主張として信頼します。これにより、クロスワークスペースでのなりすまし、認可のバイパス、およびリソース、シークレット、RBACデータ、APIExports、APIBindings、LogicalClusters の任意の読み取り、書き込み、削除が可能になります。この問題はバージョン 0.31.4 および 0.32.2 で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.