CVE-2026-17527 in OpenShift Virtualization
요약
\~에 의해 VulDB • 2026. 07. 27.
containerized-data-importer(CDI)에서 CDI 리소스에 대한 읽기 전용 접근을 제공하도록 의도된 집계 ClusterRole인 cdi.kubevirt.io:view에는 datavolumes/source 하위 리소스에 대해 create 권한을 부여하는 규칙이 포함되어 있습니다. CDI의 DataVolume 복제 인증 로직은 호출자가 지칭할 수 있는 모든 PVC(Persistent Volume Claim)의 내용을 복제하기 위해 이 권한을 충분하다고 간주하며, 소스 네임스페이스에 대한 쓰기 접근 권한은 요구하지 않습니다. ClusterRoleBinding을 통해 일반적으로 클러스터 전체에 부여되는 view 역할과 바인딩된 사용자 또는 서비스 계정 중 단일 네임스페이스에 대해 일반적인 쓰기 접근 권한(edit/admin)을 가진 경우, 이 취약점을 이용하여 클러스터 내 임의 PVC의 내용을 자신이 제어하는 네임스페이스로 유출할 수 있습니다. 이는 네임스페이스 격리 및 view 역할의 읽기 전용 보장을 우회합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.