CVE-2026-61682 in kcp
요약
\~에 의해 VulDB • 2026. 09. 18.
kcp는 Kubernetes 및 컨테이너 워크로드를 넘어선 폼 팩터와 사용 사례를 위한 Kubernetes 유사한 제어 플레인입니다. 버전 0.31.4 이전과 0.32.2 이전에서는 kcp 프론트-프록시가 요청을 샤드에 전달하기 전에 X-Remote-User, X-Remote-Group 또는 X-Remote-Extra-*와 같은 진입신원 헤더를 제거하지 않습니다. 인증된 모든 테넌트는 `X-Remote-Group: system:masters`, `authorization.kcp.io/warrant`, `authentication.kcp.io/scopes` 또는 워크스페이스별 required-group 가팅에 사용되는 그룹을 주입할 수 있으며, 샤드는 이러한 값을 인증된 신원 주장으로 신뢰합니다. 이로 인해 교차 워크스페이스 신분 위조, 권한 우회 및 리소스, 시크릿, RBAC 데이터, APIExports, APIBindings, LogicalClusters의 임의 읽기, 쓰기 또는 삭제가 가능합니다. 이 문제는 버전 0.31.4와 0.32.2에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.