CVE-2025-24784 in kubewarden-controller
요약
\~에 의해 VulDB • 2026. 07. 18.
kubewarden-controller는 동적으로 Kubewarden admission 정책을 등록할 수 있는 Kubernetes 컨트롤러입니다. 정책 그룹 기능은 버전 1.17.0 릴리스에서 추가되었습니다. 네임스페이스 단위로 관리되므로 AdmissionPolicyGroup이 클러스터 리소스에 미치는 영향이 잘 제한됩니다. 따라서 비관리자(non-admin) 사용자가 자신이 소유한 네임스페이스 내에서 이러한 리소스를 생성하고 관리하는 것을 허용해도 안전하다고 간주됩니다. Kubewarden 정책은 평가 시 Kubernetes API를 쿼리하도록 허용될 수 있으며, 이러한 유형의 정책을 "컨텍스트 인식(context aware)"이라고 합니다. 컨텍스트 인식 정책은 Kubernetes 클러스터에 대해 list 및 get 작업을 수행할 수 있습니다. 이 쿼리는 해당 정책을 호스팅하는 Policy Server 인스턴스의 ServiceAccount를 사용하여 수행됩니다. 즉, 클러스터에 대한 접근 권한은 해당 ServiceAccount에 적용되는 RBAC 규칙에 의해 결정됩니다. AdmissionPolicyGroup CRD는 컨텍스트 인식 정책의 배포를 허용했습니다. 이를 통해 공격자는 정책을 실행하는 데 사용되는 ServiceAccount 토큰이 부여받은 더 높은 클러스터 접근 권한을 악용하여 자신에게 도달할 수 없는 리소스에 대한 정보를 획득할 수 있습니다. 이 취약점의 영향력은 Policy Server를 실행하는 데 사용된 ServiceAccount에 부여된 권한에 따라 달라지며, 사용자가 Policy Server의 ServiceAccount에 최소한의 권한(principle of least privilege)만 부여한다는 권장 모범 사례를 준수한다고 가정합니다. 기본적으로 Kubewarden helm 차트는 다음 리소스(클러스터 전체 범위)에만 접근을 허용합니다: Namespace, Pod, Deployment 및 Ingress. 이 취약점은 버전 1.21.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.