CVE-2025-24784 in kubewarden-controller
Sumário
de VulDB • 14/08/2026
O kubewarden-controller é um controlador do Kubernetes que permite registrar dinamicamente políticas de admissão do Kubewarden. A funcionalidade de grupo de políticas foi adicionada na versão 1.17.0. Por ser namespaceado, o AdmissionPolicyGroup tem um impacto bem restrito nos recursos do cluster. Portanto, considera-se seguro permitir que usuários não administradores criem e gerenciem esses recursos nos namespaces sob sua responsabilidade. As políticas do Kubewarden podem ter permissão para consultar a API do Kubernetes durante a avaliação; esse tipo de política é chamado de "context aware" (consciente do contexto). Políticas context aware podem realizar operações list e get contra um cluster do Kubernetes. As consultas são feitas usando o ServiceAccount da instância do Policy Server que hospeda a política. Isso significa que o acesso ao cluster é determinado pelas regras RBAC aplicáveis àquele ServiceAccount. O CRD AdmissionPolicyGroup permitia a implantação de políticas context aware. Isso poderia permitir que um atacante obtivesse informações sobre recursos fora de seu alcance, aproveitando-se do maior nível de acesso ao cluster concedido ao token do ServiceAccount usado para executar a política. O impacto desta vulnerabilidade depende dos privilégios concedidos ao ServiceAccount utilizado para executar o Policy Server e assume que os usuários estão seguindo as melhores práticas recomendadas de manter o ServiceAccount do Policy Server com permissões mínimas (least privileged). Por padrão, o chart Helm do Kubewarden concede acesso apenas aos seguintes recursos (em todo o cluster): Namespace, Pod, Deployment e Ingress. Esta vulnerabilidade foi corrigida na versão 1.21.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.